Vulnerabilità RCE in Apache Jackrabbit: sfruttamento in atto, aggiornare subito

È stata scoperta una pericolosa vulnerabilità in Apache Jackrabbit che può causare l’esecuzione remota di codice arbitrario e la compromissione dei sistemi aziendali. Il problema è registrato come CVE-2025-58782 e colpisce due componenti chiave contemporaneamente: Jackrabbit Core e JCR Commons. L’errore è presente in tutte le versioni dalla 1.0.0 alla 2.22.1 ed è considerato importante in termini di gravità.

Il problema è legato alla deserializzazione non sicura dei dati quando si utilizzano richieste JNDI nei repository JCR. Se un’applicazione accetta parametri esterni per connettersi a un repository, un aggressore può iniettare un indirizzo JNDI dannoso. Il componente vulnerabile interpreta quindi l’oggetto codificato nel collegamento, consentendo al criminale informatico di eseguire comandi arbitrari sul server. Questo scenario apre la strada al furto di informazioni, all’installazione di backdoor o al controllo completo dell’infrastruttura.

Le distribuzioni che utilizzano JndiRepositoryFactory per trovare repository JCR sono particolarmente vulnerabili. In questo caso, un URI sostituito consente la distribuzione di un payload dannoso, che viene poi elaborato dal sistema senza un’adeguata verifica. Grazie alla deserializzazione automatica, lo sfruttamento non è impedito dai meccanismi di sicurezza integrati e il potenziale danno dipende direttamente dal livello di privilegi con cui è in esecuzione il processo Jackrabbit.

Uno degli sviluppatori principali del progetto, Marcel Reutegger, ha confermato il bug e ha esortato gli amministratori ad aggiornare immediatamente. La correzione è inclusa nella versione 2.22.2, dove le richieste JNDI sono disabilitate di default. Chi necessita della funzionalità dovrà abilitarla manualmente, controllando attentamente tutte le impostazioni. Chi non può aggiornare rapidamente alla nuova versione è invitato a disabilitare almeno le ricerche JNDI e a monitorare le connessioni sospette associate a URI esterni.

Il pericolo è che una tale falla possa essere automatizzata tramite exploit, trasformando i server non protetti in un bersaglio facile. Apache Jackrabbit è ampiamente utilizzato per la gestione dei contenuti, la ricerca aziendale e l’archiviazione di documenti, quindi la portata dei possibili attacchi è stimata come significativa. All’interno del progetto, l’errore è registrato con il numero JCR-5135 e le informazioni al riguardo sono state pubblicate nel database ufficiale di Apache e nel catalogo CVE . Il problema è stato segnalato dal ricercatore James John, che viene ringraziato nel bollettino.

Gli esperti avvertono: visti i tentativi di sfruttamento già registrati, ritardare l’aggiornamento è estremamente rischioso. Una transizione tempestiva alla versione 2.22.2 o la disattivazione di meccanismi non sicuri potrebbero diventare l’unica barriera tra i dati aziendali e gli aggressori.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks