漏洞信息
# jai-ext中代码生成的不当控制
## 概述
JAI-EXT是一个开源项目，旨在扩展Java高级成像（JAI）API。允许通过网络请求提供Jiffle脚本的程序可能导致远程代码执行，因为Jiffle脚本会通过Janino编译成Java代码并执行。
## 影响版本
- 特别影响下游的GeoServer项目。
- 修复版本：1.2.22（禁用了注入恶意代码到生成脚本的能力）。
## 细节
- Jiffle脚本通过Janino编译成Java代码并执行。
- 可以通过网络请求注入恶意Jiffle脚本，导致远程代码执行。
## 影响
- 用户无法升级到修复版本时，可以通过从类路径中移除janino-x.y.z.jar来禁用Jiffle脚本的编译功能。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Improper Control of Generation of Code in jai-ext
漏洞描述信息
JAI-EXT is an open-source project which aims to extend the Java Advanced Imaging (JAI) API. Programs allowing Jiffle script to be provided via network request can lead to a Remote Code Execution as the Jiffle script is compiled into Java code via Janino, and executed. In particular, this affects the downstream GeoServer project. Version 1.2.22 will contain a patch that disables the ability to inject malicious code into the resulting script. Users unable to upgrade may negate the ability to compile Jiffle scripts from the final application, by removing janino-x.y.z.jar from the classpath.
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
漏洞类别
对生成代码的控制不恰当(代码注入)
漏洞标题
JAI-EXT 代码注入漏洞
漏洞描述信息
JAI-EXT是一个 API。能够在多线程环境中处理图像。 JAI-EXT 存在代码注入漏洞，该漏洞允许攻击者通过网络请求提供 Jiffle 脚本的程序并导致远程代码执行。
CVSS信息
N/A
漏洞类别
代码注入