KnowSafe 安全预警：Apache Commons BCEL 缓冲区错误漏洞（CVE-2022-42920）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-42920 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Apache Commons BCEL是美国阿帕奇（Apache）基金会的一个字节代码工程库。旨在为用户提供分析、创建和操作（二进制）Java类的便捷方式。

Apache Commons BCEL存在缓冲区错误漏洞，该漏洞源于存在越界写入问题，导致API可以用于生成任意字节码。

影响范围

应用：apache commons_bcel（影响面 Up to (excluding) 6.6.0）

系统：alma_linux_9 bcel（影响面 Up to (excluding) 6.4.1-9.el9_1）

系统：amazon_2 bcel（影响面 Up to (excluding) 5.2-18.amzn2.0.1）

系统：amazon_2022 bcel（影响面 Up to (excluding) 6.5.0-3.amzn2022.0.1）

系统：amazon_2023 bcel（影响面 Up to (excluding) 6.5.0-3.amzn2023.0.2）

系统：amazon_AMI bcel（影响面 Up to (excluding) 5.2-7.2.10.amzn1）

系统：anolis_os_7 bcel（影响面 Up to (excluding) 5.2-19）

系统：centos_7 bcel（影响面 Up to (excluding) 5.2-19.el7_9）

……另有 20 项受影响环境，详见官方公告

解决方案

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://lists.apache.org/thread/lfxk7q8qmnh5bt9jm6nmjlv5hsxjhrz4

参考信息

http://www.openwall.com/lists/oss-security/2022/11/07/2

https://cxsecurity.com/cveshow/CVE-2022-42920/

https://lists.apache.org/thread/lfxk7q8qmnh5bt9jm6nmjlv5hsxjhrz4

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/LX3HEB4TV2BVCGDTK5BCLSYOZNQTOBN4/

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/QAMRHAKGIKZNHRBB4VLYTOIOIMMXCUCD/

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。