CVE-2025-48734

Zusammenfassung

Schwachstelle durch unsachgemäße Zugriffskontrolle in Apache Commons. In Version 1.9.2 wurde eine spezielle BeanIntrospector-Klasse hinzugefügt. Diese kann verwendet werden, um Angreifer daran zu hindern, über die deklarierte Klassen-Eigenschaft von Java-Enum-Objekten Zugriff auf den Klassenlader zu erhalten. Dieser Schutz war jedoch standardmäßig nicht aktiviert. PropertyUtilsBean (und folglich BeanUtilsBean) verbietet nun standardmäßig den Zugriff auf deklarierte Eigenschaften auf Klassenebene. Die Releases 1.11.0 und 2.0.0-M2 beheben ein potenzielles Sicherheitsproblem beim unkontrollierten Zugriff auf Enum-Eigenschaften. Wenn eine Anwendung, die Commons BeanUtils verwendet, Eigenschaftspfade aus einer externen Quelle direkt an die getProperty()-Methode von PropertyUtilsBean übergibt, kann ein Angreifer über die Eigenschaft „declaredClass“, die auf allen Java-„enum“-Objekten verfügbar ist, auf den Klassenlader des Enums zugreifen. Der Zugriff auf „declaredClass“ des Enums ermöglicht es entfernten Angreifern, auf den ClassLoader zuzugreifen und beliebigen Code auszuführen. Das gleiche Problem besteht bei PropertyUtilsBean.getNestedProperty(). Ab den Versionen 1.11.0 und 2.0.0-M2 unterdrückt ein spezieller BeanIntrospector die Eigenschaft „declaredClass“. Beachten Sie, dass dieser neue BeanIntrospector standardmäßig aktiviert ist, Sie ihn jedoch deaktivieren können, um das alte Verhalten wiederherzustellen; siehe Abschnitt 2.5 des Benutzerhandbuchs und die Unit-Tests. Dieses Problem betrifft Apache Commons BeanUtils 1.x vor 1.11.0 und 2.x vor 2.0.0-M2. Benutzern des Artefakts commons-beanutils:commons-beanutils 1.x wird empfohlen, auf Version 1.11.0 zu aktualisieren, die das Problem behebt. Benutzern des Artefakts org.apache.commons:commons-beanutils2 2.x wird empfohlen, auf Version 2.0.0-M2 zu aktualisieren, die das Problem behebt.

• CVE-2025-48734Exploit