CVE-2022-24816criticalbajo ataqueCWE-94

CVE-2022-24816: fallo crítico en geosolutions-it jai-ext

Improper Control of Generation of Code in jai-ext

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear jai-ext+ Monitorear JAI-EXT

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 10epss 100%
de la publicación al arma1010 días
Publicada en NVD13 abr
1ª PoC+1010d
CISA KEV+805d
Acción exigida por CISAplazo federal: 2024-07-17

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

JAI-EXT permite que atacantes ejecuten código arbitrario en un servidor enviando scripts Jiffle maliciosos a través de solicitudes de red. Estos scripts se compilan a código Java y se ejecutan sin validación adecuada, dando al atacante control total del sistema.

Detalle técnico

CWE-94: Control Inadecuado de la Generación de Código. Scripts Jiffle enviados a través de entrada de red se compilan a bytecode Java mediante el compilador Janino sin sanitización, permitiendo la ejecución de código arbitrario. Los sistemas afectados incluyen GeoServer y cualquier aplicación que acepte scripts Jiffle de fuentes no confiables; la explotación requiere acceso de red a un endpoint habilitado para Jiffle.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

JAI-EXT is an open-source project which aims to extend the Java Advanced Imaging (JAI) API. Programs allowing Jiffle script to be provided via network request can lead to a Remote Code Execution as the Jiffle script is compiled into Java code via Janino, and executed. In particular, this affects the downstream GeoServer project. Version 1.2.22 will contain a patch that disables the ability to inject malicious code into the resulting script. Users unable to upgrade may negate the ability to compile Jiffle scripts from the final application, by removing janino-x.y.z.jar from the classpath.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Productos afectados
geosolutions-it · jai-ext
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.