OSGeo GeoServer JAI-EXT Code Injection Vulnerability. 悪用が確認されています：CISA は 26/06/2024 にこの脆弱性を「既知の悪用された脆弱性（KEV）」カタログに追加しました。影響を受けるシステムは緊急に修正してください。
| パッケージ | 影響を受けるバージョン | 修正済みバージョン |
|---|---|---|
| it.geosolutions.jaiext.jiffle:jt-jiffle | < 1.1.22 | 1.1.22 |
| it.geosolutions.jaiext.jiffle:jt-jiffle-language | < 1.1.22 | 1.1.22 |
| jai-ext | < 1.1.22 | 1.1.22 |
Programs using jt-jiffle, and allowing Jiffle script to be provided via network request, are susceptible to a Remote Code Execution as the Jiffle script is compiled into Java code via Janino, and executed. In particular, this affects the downstream GeoServer project.
Version 1.2.22 will contain a patch that disables the ability to inject malicious code into the resulting script.
Negate the ability to compile Jiffle scripts from the final application, by removing janino-x.y.z.jar from the classpath.
None.
これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。
無料でサイトをスキャン