OSGeo GeoServer JAI-EXT Code Injection Vulnerability. Đang bị khai thác thực tế: CISA đưa lỗ hổng này vào danh mục Known Exploited Vulnerabilities ngày 26/06/2024. Hãy vá các hệ thống bị ảnh hưởng ngay.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|---|---|
| it.geosolutions.jaiext.jiffle:jt-jiffle | < 1.1.22 | 1.1.22 |
| it.geosolutions.jaiext.jiffle:jt-jiffle-language | < 1.1.22 | 1.1.22 |
| jai-ext | < 1.1.22 | 1.1.22 |
Programs using jt-jiffle, and allowing Jiffle script to be provided via network request, are susceptible to a Remote Code Execution as the Jiffle script is compiled into Java code via Janino, and executed. In particular, this affects the downstream GeoServer project.
Version 1.2.22 will contain a patch that disables the ability to inject malicious code into the resulting script.
Negate the ability to compile Jiffle scripts from the final application, by removing janino-x.y.z.jar from the classpath.
None.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí