遠端 Debian 11 主機上安裝的多個套件受 dsa-5290 公告中提及的一個弱點影響。

  - Apache Commons Configuration 可執行變數插補，允許動態評估和展開內容。插補的標準格式為 ${prefix: name}，其中 prefix 用於尋找執行插補的 org.apache.commons.configuration2.interpol.Lookup 執行個體。從 2.4 版直到 2.7 版，預設的 Lookup 執行個體組包含可導致任意程式碼執行或與遠端伺服器聯絡的內插程式。這些 Lookup 是：- script - 使用 JVM 指令碼執行引擎 (javax.script) 執行運算式 - dns
    - 解析 dns 記錄 - url - 從 url 載入值，包括從遠端伺服器載入。使用受影響版本中內插預設值的應用程式可能容易遭受遠端程式碼執行攻擊，或是意外連絡遠端伺服器 (如果使用未受信任的組態值)。建議使用者升級至 Apache Commons Configuration 2.8.0，其預設停用有問題的內插程式。(CVE-2022-33980)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DSA-5290-1：commons-configuration2 - 安全性更新

critical Nessus Plugin ID 168228

版本 1.2