CVE-2022-33980

highPriorität · beachten · 65EPSS 0.446 · 99. PerzentilExploit · PoCDEEURUUS

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

5 exploits · PoC

Likely / severe?

44.6% (99th) EPSS

CVSS 7.5 · high

Is it mine?

16 products

Prüfe deine Angriffsfläche

Who says so?

6 sources

cnnvd · enisa_euvd · fstec_bdu · cert_bund

EPSS · bewertet 2026-10-27

Apache Commons Configuration performs variable interpolation, allowing properties to be dynamically evaluated and expanded. The standard format for interpolation is "${prefix:name}", where "prefix" is used to locate an instance of org.apache.commons.configuration2.interpol.Lookup that performs the interpolation. Starting with version 2.4 and continuing through 2.7, the set of default Lookup instances included interpolators that could result in arbitrary code execution or contact with remote servers. These lookups are: - "script" - execute expressions using the JVM script execution engine (javax.script) - "dns" - resolve dns records - "url" - load values from urls, including from remote servers Applications using the interpolation defaults in the affected versions may be vulnerable to remote code execution or unintentional contact with remote servers if untrusted configuration values are used. Users are recommended to upgrade to Apache Commons Configuration 2.8.0, which disables the problematic interpolators by default.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

9.8

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · medium–critical · 6.6–9.8

v2.07.5highAV:N/AC:L/Au:N/C:P/I:P/A:Pprimary · NVD / NIST USAusnutzbarkeit 10 · Auswirkung 6.4

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hprimary · NVD / NIST USAusnutzbarkeit 3.9 · Auswirkung 5.9

v3.16.6mediumAV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:Hsecondary · FSTEC (BDU) RU

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · OSV

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:Hsecondary · CVSS-BT (t0sche)

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-74USCWE-94US

Exploits (5)

Öffentlicher Proof-of-Concept- und Exploit-Code.

HKirito/CVE-2022-33980CVEPoC · poc_in_github
P0lar1ght/CVE-2022-33980-POCP0lar1ght/CVE-2022-33980-POCPoC · poc_in_github
joseluisinigo/riskootext4shelltext4shell script for text coomons < =1.10 CVE-2022-33980PoC · poc_in_github
sammwyy/CVE-2022-33980-POCPOC for CVE-2022-33980 (Apache Commons Configuration RCE vulnerability)PoC · poc_in_github
tangxiaofeng7/CVE-2022-33980-Apache-Commons-Configuration-RCECVE-2022-33980 Apache Commons Configuration 远程命令执行漏洞PoC · poc_in_github

betroffene Produkte (16)

Betroffene Produkte und Versionsbereiche.

Debian Linuxalle Versionencert_bundDEcpe:/o:debian:debian_linux:-
Fedora Linuxalle Versionencert_bundDEcpe:/o:fedoraproject:fedora:-
Red Hat Satellite <6.13alle Versionencert_bundDE
SUSE openSUSEalle Versionencert_bundDEcpe:/o:suse:opensuse:-
Red Hat Satellite< 6.13cert_bundDE
Apache Software Foundation Apache Commons ConfigurationApache Commons Configuration → 2.8.0enisa_euvdEU
Apache Software Foundation Commons Configuration≤ 2.8fstec_bduRU
IBM Corp. IBM Sterling Connect4.8.0.0 → 4.8.0.3_iFix049fstec_bduRU
IBM Corp. IBM Sterling Connect6.0.0.0 → 6.0.0.4_iFix056fstec_bduRU
IBM Corp. IBM Sterling Connect6.1.0.0 → 6.1.0.2_iFix050fstec_bduRU
IBM Corp. IBM Sterling Connect6.2.0.0 → 6.2.0.4_iFix013fstec_bduRU
ООО «Ред Софт» РЕД ОС≤ 7.3fstec_bduRU
apache commons configuration2.4 → 2.8nvdUScpe:2.3:a:apache:commons_configuration:*:*:*:*:*:*:*:*
debian debian linux= 11.0nvdUScpe:2.3:o:debian:debian_linux:*:*:*:*:*:*:*:*
netapp snapcenteralle VersionennvdUScpe:2.3:a:netapp:snapcenter:*:*:*:*:*:*:*:*
Maven org.apache.commons:commons-configuration22.4 → 2.8.0osvUSpkg:maven/org.apache.commons/commons-configuration2

Advisories (9)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2022-0590Apache Commons: Schwachstelle ermöglicht CodeausführungDeutsch2022-07-06csaf · cert_bundDE
Ein entfernter Angreifer kann eine Schwachstelle in Apache Commons ausnutzen, um beliebigen Programmcode auszuführen.
WID-SEC-W-2022-2056Jenkins: Mehrere SchwachstellenDeutsch2022-11-15csaf · cert_bundDE
Ein entfernter, anonymer, authentisierter oder lokaler Angreifer kann mehrere Schwachstellen in verschiedenen Jenkins Plugins ausnutzen, um beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen, vertrauliche Informationen offenzulegen und einen Cross-Site-Scripting-Angriff durchzuführen.
WID-SEC-W-2023-0133Oracle Financial Services Applications: Mehrere SchwachstellenDeutsch2023-01-17csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Financial Services Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-0138Oracle Communications Applications: Mehrere SchwachstellenDeutsch2023-01-17csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Communications Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-1016Oracle Fusion Middleware: Mehrere SchwachstellenDeutsch2023-04-18csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Fusion Middleware ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-1031Oracle Retail Applications: Mehrere SchwachstellenDeutsch2023-04-18csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Retail Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-1143Red Hat Satellite: Mehrere SchwachstellenDeutsch2023-05-03csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Red Hat Satellite ausnutzen, um beliebigen Programmcode auszuführen, Informationen offenzulegen, einen Cross-Site-Scripting-Angriff durchzuführen oder einen Denial of Service Zustand herbeizuführen.
WID-SEC-W-2023-2675Oracle Financial Services Applications: Mehrere SchwachstellenDeutsch2023-10-17csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Financial Services Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
GHSA-xj57-8qj4-c4m6Code injection in Apache Commons Configuration2022-07-07ghsa · osvUS
Apache Commons Configuration performs variable interpolation, allowing properties to be dynamically evaluated and expanded. The standard format for interpolation is "${prefix:name}", where "prefix" is used to locate an instance of org.apache.commons.configuration2.interpol.Lookup that performs the interpolation. Starting with version 2.4 and continuing through 2.7, the set of default Lookup instances included interpolators that could result in arbitrary code execution or contact with remote servers. These lookups are: - "script" - execute expressions using the JVM script execution engine (javax.script) - "dns" - resolve dns records - "url" - load values from urls, including from remote servers Applications using the interpolation defaults in the affected versions may be vulnerable to remote code execution or unintentional contact with remote servers if untrusted configuration values are used. Users are recommended to upgrade to Apache Commons Configuration 2.8.0, which disables the problematic interpolators by default.

auch bekannt als (4)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu cert_bund nvd osv NVD CVE.org MITRE

veröffentlicht 2022-07-06geändert 2026-06-17

Referenzen (28)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan