漏洞预警|Apache Sling JCR Base 存在JNDI注入漏洞
棱镜七彩安全预警
近日网上有关于开源项目Apache Sling JCR Base 存在JNDI注入漏洞，棱镜七彩威胁情报团队第一时间探测到，经分析研判，向全社会发起开源漏洞预警公告，提醒相关安全团队及时响应。
项目介绍
Apache Sling是一个基于可扩展内容树的RESTful Web应用程序框架。简而言之，Sling根据请求的路径、扩展名和选择器将HTTP请求URL映射到内容资源。使用约定优于配置，请求由脚本和servlet处理，根据当前资源动态选择。这促进了有意义的URL和资源驱动的请求处理，而Sling的模块化特性允许只包含所需内容的专用服务器实例。
项目主页
https://sling.apache.org/
代码托管地址
https://github.com/apache/sling-org-apache-sling-jcr-base
CVE编号
漏洞情况
Apache Sling JCR Base 提供 JCR 实用程序类和对存储库挂载的支持，是ApacheSling项目的一部分。
在JDK 1.8.191或更低版本中运行Apache Sling JCR Base且项目版本小于3.1.12时可能存在JNDI注入漏洞，由于RepositoryAccessor.java中的getRepository方法和getRepositoryFromURL方法对传入的参数验证不当导致JNDI或RMI注入。远程攻击者可以通过JDNI和RMI连接访问存储在服务器上的任意数据。
受影响的版本
org.apache.sling:org.apache.sling.jcr.base@(-∞, 3.1.12)
修复方案
将组件 org.apache.sling:org.apache.sling.jcr.base 升级至 3.1.12 及以上版本
链接地址：
https://nvd.nist.gov/vuln/detail/CVE-2023-25141
https://github.com/apache/sling-org-apache-sling-jcr-base/pull/8
https://issues.apache.org/jira/browse/SLING-11770
查看更多安全漏洞：快速查询安全漏洞 ｜ 柒巧板
