JAI-EXT는 Java Advanced Imaging(JAI) API의 확장을 목표로 하는 오픈 소스 프로젝트입니다. 네트워크 요청을 통해 Jiffle 스크립트를 제공할 수 있도록 허용하는 프로그램에서는 Jiffle 스크립트가 Janino를 통해 Java 코드로 컴파일되고 실행되므로 원격 코드 실행이 발생할 수 있습니다. 특히 이는 다운스트림 GeoServer 프로젝트에 영향을 미칩니다. version 1.2.22에는 생성되는 스크립트에 악성 코드를 삽입하는 기능을 비활성화하는 패치가 포함될 예정입니다. 업그레이드할 수 없는 사용자는 classpath에서 janino-x.y.z.jar를 제거하여 최종 애플리케이션에서 Jiffle 스크립트를 컴파일하는 기능을 없앨 수 있습니다.
JAI-EXT는 Java Advanced Imaging(JAI) API의 확장을 목표로 하는 오픈 소스 프로젝트입니다. 네트워크 요청을 통해 Jiffle 스크립트를 제공할 수 있도록 허용하는 프로그램에서는 Jiffle 스크립트가 Janino를 통해 Java 코드로 컴파일되고 실행되므로 원격 코드 실행이 발생할 수 있습니다. 특히 이는 다운스트림 GeoServer 프로젝트에 영향을 미칩니다. version 1.2.22에는 생성되는 스크립트에 악성 코드를 삽입하는 기능을 비활성화하는 패치가 포함될 예정입니다. 업그레이드할 수 없는 사용자는 classpath에서 janino-x.y.z.jar를 제거하여 최종 애플리케이션에서 Jiffle 스크립트를 컴파일하는 기능을 없앨 수 있습니다.
한국어 설명은 영문 원문을 기준으로 제공됩니다. 제품명·버전·보안 식별자는 아래 원문과 함께 확인할 수 있습니다.
영문 원문 보기
JAI-EXT is an open-source project which aims to extend the Java Advanced Imaging (JAI) API. Programs allowing Jiffle script to be provided via network request can lead to a Remote Code Execution as the Jiffle script is compiled into Java code via Janino, and executed. In particular, this affects the downstream GeoServer project. Version 1.2.22 will contain a patch that disables the ability to inject malicious code into the resulting script. Users unable to upgrade may negate the ability to compile Jiffle scripts from the final application, by removing janino-x.y.z.jar from the classpath.
필드별 과거 원문을 추정하지 않습니다. 각 시점의 현재 값과 공식 출처를 대조해 변경 여부를 확인하세요.
기술 정보
CVSS 벡터 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE CWE-94
KEV 등록일 2024.06.26
랜섬웨어 캠페인 사용 미확인
CISA 비고 This vulnerability affects a common open-source component, third-party library, or a protocol used by different products. The patched JAI-EXT is version 1.1.22: https://github.com/geosolutions-it/jai-ext/releases/tag/1.1.22, https://github.com/geosolutions-it/jai-ext/security/advisories/GHSA-v92f-jx6p-73rx; https://nvd.nist.gov/vuln/detail/CVE-2022-24816
