KnowSafe 安全预警：Apache Commons Configuration输入验证错误漏洞

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2020-1953 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Apache Commons Configuration是美国阿帕奇（Apache）软件基金会的一款通用的配置接口，它主要用于使Java应用程序从多种来源读取配置数据。 Apache Commons Configuration使用第三方库来解析YAML文件，如果YAML包含特殊语句，则默认情况下允许实例化类。 Apache Commons Configuration版本2.2、2.3、2.4、2.5、2.6并未更改该库的默认设置。因此，如果从不受信任的源加载了YAML文件，则它可能会在主机应用程序的控制范围之外加载并执行代码。

影响范围

应用：apache commons_configuration（版本 2.2）

应用：apache commons_configuration（版本 2.3）

应用：apache commons_configuration（版本 2.4）

应用：apache commons_configuration（版本 2.5）

应用：apache commons_configuration（版本 2.6）

应用：oracle database_server（版本 11.2.0.4）

应用：oracle database_server（版本 12.1.0.2）

应用：oracle database_server（版本 12.2.0.1）

……另有 9 项受影响环境，详见官方公告

解决方案

升级至安全版本。

参考信息

https://lists.apache.org/thread.html/d0e00f2e147a9e9b13a6829133092f349b2882bf6860397368a52600%40%3Cannounce.tomcat.apache.org%3E

https://lists.apache.org/thread.html/r16a2e949e35780c8974cf66104e812410f3904f752df6b66bf292269%40%3Ccommits.servicecomb.apache.org%3E

https://lists.apache.org/thread.html/rde2186ad6ac0d6ed8d51af7509244adcf1ce0f9a3b7e1d1dd3b64676%40%3Ccommits.camel.apache.org%3E

https://www.oracle.com/security-alerts/cpuoct2020.html

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。