Apache Flume vulnerable to remote code execution via deserialization of unsafe providerURL

NGHIÊM TRỌNG 9.8CVE-2022-42468 · GHSA-9w4g-fp9h-3q2v · Công bố 26/10/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-42468 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng org.apache.flume.flume-ng-sources:flume-jms-source, flume (apache).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 3.7%, cao hơn 89.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.11.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
org.apache.flume.flume-ng-sources:flume-jms-source Maven	`< 1.11.0`	`1.11.0`
flume apache	`≥ 1.4.0, ≤ 1.10.1`	Chưa có bản vá

Mô tả

Flume’s JMSSource class can be configured with a providerUrl parameter. A JNDI lookup is performed on this name without performing validation. This could result in untrusted data being deserialized, leading to remote code execution (RCE) attack when a configuration uses a JMS Source with an unsafe providerURL. This issue is fixed in version 1.11.0.

Mô tả của NVD

Apache Flume versions 1.4.0 through 1.10.1 are vulnerable to a remote code execution (RCE) attack when a configuration uses a JMS Source with an unsafe providerURL. This issue is fixed by limiting JNDI to allow only the use of the java protocol or no protocol.