Apache Commons Text <1.10.0 远程代码执行漏洞-低调大师

Apache Commons Text <1.10.0 远程代码执行漏洞

2022-10-13 381

漏洞描述

Apache Commons Text 项目实现了一系列关于文本字符串的算法，专注于处理字符串和文本块。

Apache Commons Text 在1.10.0之前的版本中由于插值默认值验证不当从而存在远程代码执行漏洞。其原因是因为Apache Commons Text 插值格式“${prefix:name}”中的“prefix”用于定位执行插值的 org.apache.commons.text.lookup.StringLookup 的实例，如果 Lookup 实例中包含了不受信任的配置值，则在受影响版本中使用插值默认值的应用程序容易受到远程代码执行或与远程服务器的错误联络。

漏洞名称	Apache Commons Text <1.10.0 远程代码执行漏洞
漏洞类型	反序列化
发现时间	2022-10-13
漏洞影响广度	一般
MPS编号	MPS-2022-59712
CVE编号	CVE-2022-42889
CNVD编号	-

影响范围

org.apache.commons:commons-text@[1.0, 1.10.0)

修复方案

升级org.apache.commons:commons-text到 1.10.0 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-59712

https://nvd.nist.gov/vuln/detail/CVE-2022-42889

https://seclists.org/oss-sec/2022/q4/22

https://github.com/apache/commons-text/commit/b9b40b903e2d1f9935039803c9852439576780ea

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/213563

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

LibreOffice 7.4.2 发布，修复大量错误

LibreOffice 7.4.1 发布大约一个月后，LibreOffice 7.4.2 版本进一步解决了 LibreOffice 7.4 办公套件系列中发现的各种问题和错误。根据RC1和RC2的更新日志，LibreOffice 7.4.2 版本中正好包含 80 个错误修复。 LibreOffice 7.4.2 版本的修复进一步提高了与专有办公套件（微软 office）文档格式的兼容性，以及对 LibreOffice 的本机文档格式 ODF（OpenDocument 格式）的支持。此外，还解决了社区报告的崩溃、错误和其他错误。 LibreOffice 7.4.2 社区版本可从该下载地址获得，它对专有操作系统的最低要求是 Microsoft Windows 7 SP1 和 Apple macOS 10.12。 LibreOffice 7.4 系列将支持到 2023 年 6 月 12 日，总共有六次维护更新。下一个版本 LibreOffice 7.4.3 计划于 2022 年 11 月末发布。

2022-10-14

452

vivo 互联网产品团队 - Wang xiao 随着广告和内容等推荐场景的扩展，算法模型也在不断演进迭代中。业务的不断增长，模型的训练、产出迫切需要进行平台化管理。vivo互联网机器学习平台主要业务场景包括游戏分发、商店、商城、内容分发等。本文将从业务场景、平台功能实现两个方面介绍vivo内部的机器学习平台在建设与实践中的思考和优化思路。一、写在前面随着互联网领域的快速发展，数据体量的成倍增长以及算力的持续提升，行业内都在大力研发AI技术，实现业务赋能。算法业务往往专注于模型和调参，而工程领域是相对薄弱的一个环节。建设一个强大的分布式平台，整合各个资源池，提供统一的机器学习框架，将能大大加快训练速度，提升效率，带来更多的可能性，此外还有助于提升资源利用率。希望通过此文章，初学者能对机器学习平台，以及生产环境的复杂性有一定的认识。二、业务背景截止2022年8月份，vivo在网用户2.8亿，应用商店日活跃用户数7000万+。AI应用场景丰富，从语音识别、图像算法优化、以及互联网常见场景，围绕着应用商店、浏览器、游戏中心等业务场景的广告和推荐诉求持续上升。如何让推荐系统的模型迭代...

2022-10-14

355

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。