Apache Commons Configuration远程代码执行漏洞 Apache Commons Configuration是美国阿帕奇（Apache）基金会的一款通用的配置接口，它主要用于使Java应用程序从多种来源读取配置数据。 CVE-2022-33980 版本 Apache Commons Configuration2.4-2.7 漏洞原理 该漏洞源于Apache Commons配置执行变量插值，允许动态评估和扩展属性。插值的标准格式是"${prefix:name}"，其中 "prefix "用于定位执行插值的org.apache.commons.configuration2.interpol.Lookup的实例。默认的Lookup实例集包括可能导致任意代码执行或与远程服务器联系的插值器。这些查找器是：-"script" - 使用JVM脚本执行引擎（javax.script）执行表达式，- "dns" - 解析dns记录，- "url" - 从urls加载值，包括从远程服务器加载值，如果使用不受信任的配置值，使用受影响版本中插值默认值的应用程序可能会受到远程代码执行或无意中与远程服务器接触的影响。