Dpp

**Nome do Software Vulnerável e Versões Afetadas** mchange-commons-java versões anteriores a 0.4.0 **Descrição** O mchange-commons-java, uma biblioteca que fornece utilitários Java, contém código que replica implementações antigas do JNDI, incluindo suporte a valores remotos de `factoryClassLocation`. Isso permite o download e a execução potenciais de código malicioso se um aplicativo processar um objeto `javax.naming.Reference` ou serializado especialmente criado. Embora o JDK tenha proteções padrão contra esse comportamento por meio da propriedade do sistema `com.sun.jndi.ldap.object.trustURLCodebase`, a implementação independente do JNDI do mchange-commons-java contorna essas proteções. Isso significa que bibliotecas como c3p0, que utilizam o mchange-commons-java para resolução de JNDI, podem ser exploradas mesmo com um JDK hardened. A funcionalidade JNDI da biblioteca agora está protegida por parâmetros de configuração que, por padrão, possuem valores restritivos a partir da versão 0.4.0. O endpoint da API não é explicitamente mencionado. O parâmetro vulnerável é `factoryClassLocation`. **Recomendações** Atualize para a versão 0.4.0 ou posterior do mchange-commons-java. Evite utilizar versões do mchange-commons-java anteriores a 0.4.0 nos CLASSPATHs do aplicativo.

**Nome do Software Vulnerável e Versões Afetadas** c3p0 versões anteriores a 0.12.0 **Description** Uma falha na biblioteca de pooling de conexões JDBC permite que um invasor remoto execute código arbitrário no `CLASSPATH` da aplicação. O problema ocorre porque várias implementações de `ConnectionPoolDataSource` utilizam uma propriedade chamada `userOverridesAsString` que era mantida como um objeto serializado Java codificado em hexadecimal. Um invasor pode manipular essa propriedade usando objetos serializados Java maliciosos ou instâncias de `javax.naming.Reference` para disparar a desserialização. Esse risco é ampliado por uma dependência do mchange-commons-java, que oferece suporte irrestrito para valores remotos de `factoryClassLocation`. Ao combinar esses fatores, um invasor pode forçar a aplicação a baixar e executar código malicioso de um local remoto. JNDI (Java Naming and Directory Interface) é uma API Java que permite que aplicações descubram e localizem dados e objetos por meio de um nome. **Recommendations** Atualize o c3p0 para a versão 0.12.0 ou superior.