CVE-2022-41853

criticalPriorität · beachten · 51EPSS 0.051 · 92. PerzentilExploit · PoCDEEURUUS
grimoire priorityP1 · Urgent
Exploitable?
Public exploit
1 exploit · PoC
Likely / severe?
5.15% (92nd) EPSS
CVSS 9.8 · critical
Is it mine?
24 products
Prüfe deine Angriffsfläche
Who says so?
5 sources
cnnvd · enisa_euvd · fstec_bdu · cert_bund

EPSS · bewertet 2026-10-27

Those using java.sql.Statement or java.sql.PreparedStatement in hsqldb (HyperSQL DataBase) to process untrusted input may be vulnerable to a remote code execution attack. By default it is allowed to call any static method of any Java class in the classpath resulting in code execution. The issue can be prevented by updating to 2.7.1 or by setting the system property "hsqldb.method_class_names" to classes which are allowed to be called. For example, System.setProperty("hsqldb.method_class_names", "abc") or Java argument -Dhsqldb.method_class_names="abc" can be used. From version 2.7.1 all classes by default are not accessible except those in java.lang.Math and need to be manually enabled.

01

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

9.8
010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · high–critical · 8–9.8

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hprimary · NVD / NIST USAusnutzbarkeit 3.9 · Auswirkung 5.9
v3.19.8criticalAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · FSTEC (BDU) RU
v3.18highCVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:Hsecondary · ENISA EU
v3.18highCVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:Hsecondary · cve-coordination@google.comAusnutzbarkeit 1.3 · Auswirkung 6
v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · OSV
v3.19.3criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:Psecondary · CVSS-BT (t0sche)
02

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: no · Technical Impact: totalcoordinatorcisa_ssvcUS
03

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-470USCWE-470USCWE-470US
04

Exploits (1)

Öffentlicher Proof-of-Concept- und Exploit-Code.

05

betroffene Produkte (24)

Betroffene Produkte und Versionsbereiche.

20 von 24 angezeigt
06

Advisories (7)

Hersteller- und Ökosystem-Meldungen dazu.

  • WID-SEC-W-2022-2135Red Hat Enterprise Linux: Schwachstelle ermöglicht CodeausführungDeutsch2022-11-21csaf · cert_bundDE

    Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Red Hat Enterprise Linux und Oracle Linux ausnutzen, um beliebigen Programmcode auszuführen.

  • WID-SEC-W-2022-2232IBM InfoSphere Information Server: Schwachstelle ermöglicht CodeausführungDeutsch2022-12-05csaf · cert_bundDE

    Ein entfernter, authentisierter Angreifer kann eine Schwachstelle in IBM InfoSphere Information Server ausnutzen, um beliebigen Programmcode auszuführen.

  • WID-SEC-W-2023-0578IBM Security Guardium: Mehrere SchwachstellenDeutsch2023-03-06csaf · cert_bundDE

    Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in IBM Security Guardium ausnutzen, um Dateien zu manipulieren, beliebigen Programmcode auszuführen oder Informationen offenzulegen.

  • WID-SEC-W-2023-1142Red Hat Integration Camel for Spring Boot: Mehrere SchwachstellenDeutsch2023-05-03csaf · cert_bundDE

    Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Red Hat Integration Camel for Spring Boot ausnutzen, um die Vertraulichkeit, Verfügbarkeit und Integrität zu gefährden.

  • WID-SEC-W-2023-1807Oracle Fusion Middleware: Mehrere SchwachstellenDeutsch2023-07-18csaf · cert_bundDE

    Ein Angreifer aus dem angrenzenden Netzwerk oder ein entfernter anonymer, authentisierter oder lokaler Angreifer kann mehrere Schwachstellen in Oracle Fusion Middleware ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • WID-SEC-W-2024-0896Oracle Insurance Applications: Mehrere SchwachstellenDeutsch2024-04-16csaf · cert_bundDE

    Ein Angreifer kann mehrere Schwachstellen in Oracle Insurance Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.

  • GHSA-77xx-rxvh-q682HyperSQL DataBase vulnerable to remote code execution when processing untrusted input2022-10-06ghsa · osvUS

    Those using `java.sql.Statement` or `java.sql.PreparedStatement` in hsqldb (HyperSQL DataBase) to process untrusted input may be vulnerable to a remote code execution attack. By default it is allowed to call any static method of any Java class in the classpath resulting in code execution. The issue can be prevented by updating to 2.7.1 or by setting the system property "hsqldb.method_class_names" to classes which are allowed to be called. For example, `System.setProperty("hsqldb.method_class_names", "abc")` or Java argument `-Dhsqldb.method_class_names="abc"` can be used. From version 2.7.1 all classes by default are not accessible except those in `java.lang.Math` and need to be manually enabled.

07

auch bekannt als (4)

Weitere Namen und Kennungen dieser Entität.

08

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvdenisa_euvdfstec_bducert_bundosvNVDCVE.orgMITRE
veröffentlicht 2022-10-06geändert 2026-06-17
09

Referenzen (23)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan