CVE-2022-41853: リモートコード実行 in HyperSQL DataBase | Kitploit

CVE-2022-41853

重大公開済み

リモートコード実行 in HyperSQL DataBase

公開済み: 2022/10/06
更新済み: 2025/04/21
CNA の割り当て: Google
観察された証拠: 2026/08/08

プライマリ CVSS

9.8/ 10重大

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS 確率推定

3.9%

低 · 今後 30 日間

パーセンタイル: 89.9%
モデルの日付: 2026/09/21

EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。

概要

hsqldb（HyperSQL DataBase）でjava.sql.Statementまたはjava.sql.PreparedStatementを使用して信頼できない入力を処理する場合、リモートコード実行攻撃に対して脆弱になる可能性があります。デフォルトでは、クラスパス内の任意のJavaクラスの静的メソッドを呼び出すことが許可されており、その結果コードが実行されます。この問題は、2.7.1に更新するか、システムプロパティ「hsqldb.method_class_names」を呼び出しを許可するクラスに設定することで防ぐことができます。例えば、System.setProperty("hsqldb.method_class_names", "abc")またはJava引数-Dhsqldb.method_class_names="abc"を使用できます。バージョン2.7.1以降、java.lang.Math内のクラスを除き、デフォルトではすべてのクラスにアクセスできず、手動で有効化する必要があります。

ソース

CVE-2022-41853PoC
CVE-2022-41853の調査：Javaデシリアライゼーションとリモートコードベース攻撃による静的関数を用いたRCEの取得

責任ある使用

脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイトコードや悪意のあるペイロードは保存しません。