GLSA-202301-05 : Apache Commons Text：任意代码执行

critical Nessus 插件 ID 169838

语言：

描述

远程主机会受到 GLSA-202301-05 中所述漏洞的影响（Apache Commons Text：任意代码执行）

- Apache Commons Text 执行变量插值，允许动态评估和扩展属性。插值的标准格式为 ${prefix: name}，其中 prefix 用于定位执行插值的 org.apache.commons.text.lookup.StringLookup 的实例。从版本 1.5 到版本 1.9，默认查找实例集包含可导致任意代码执行或与远程服务器联系的插值器。这些查找是：- script - 使用 JVM 脚本执行引擎 (javax.script) 执行表达式- dns- 解析 DNS 记录 - url - 从 url 加载值，包括从远程服务器加载值。如果使用了不受信任的配置值，使用受影响版本中的插值默认值的应用程序可能容易受到远程代码执行或无意联系的影响。建议用户升级到 Apache Commons Text 1.10.0 版本，其默认禁用有问题的插值器。(CVE-2022-42889)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。