Status on vulnerabilities in latest EJBCA

[joancafom]

Hi!

I have recently run Trivy against the latest release of EJBCA and found that there are several CVEs reported, mainly related some of the JAR files and dependencies:

$ wget https://github.com/Keyfactor/ejbca-ce/releases/download/EJBCA_7_11_0_20221202/ejbca_ce_7_11_0.zip && unzip ejbca_ce_7_11_0.zip
$ trivy rootfs .
Java (jar)

Total: 47 (UNKNOWN: 1, LOW: 2, MEDIUM: 15, HIGH: 25, CRITICAL: 4)

┌───────────────────────────────────────────────────────────┬─────────────────────┬──────────┬───────────────────┬────────────────────────────┬──────────────────────────────────────────────────────────────┐
│                          Library                          │    Vulnerability    │ Severity │ Installed Version │       Fixed Version        │                            Title                             │
├───────────────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ com.fasterxml.jackson.core:jackson-databind               │ CVE-2020-36518      │ HIGH     │ 2.11.1            │ 2.12.6.1, 2.13.2.1         │ denial of service via a large depth of nested objects        │
│ (swagger-codegen-cli-2.4.25.jar)                          │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2020-36518                   │
│                                                           ├─────────────────────┤          │                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2021-46877      │          │                   │ 2.12.6, 2.13.1             │ Possible DoS if using JDK serialization to serialize         │
│                                                           │                     │          │                   │                            │ JsonNode                                                     │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2021-46877                   │
│                                                           ├─────────────────────┤          │                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-42003      │          │                   │ 2.12.7.1, 2.13.4.1         │ deep wrapper array nesting wrt UNWRAP_SINGLE_VALUE_ARRAYS    │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-42003                   │
│                                                           ├─────────────────────┤          │                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-42004      │          │                   │ 2.12.7.1, 2.13.4           │ use of deeply nested arrays                                  │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-42004                   │
├───────────────────────────────────────────────────────────┼─────────────────────┤          ├───────────────────┼────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ com.fasterxml.jackson.core:jackson-databind               │ CVE-2020-36518      │          │ 2.11.3            │ 2.12.6.1, 2.13.2.1         │ denial of service via a large depth of nested objects        │
│ (jackson-databind-2.11.3.jar)                             │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2020-36518                   │
│                                                           ├─────────────────────┤          │                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2021-46877      │          │                   │ 2.12.6, 2.13.1             │ Possible DoS if using JDK serialization to serialize         │
│                                                           │                     │          │                   │                            │ JsonNode                                                     │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2021-46877                   │
│                                                           ├─────────────────────┤          │                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-42003      │          │                   │ 2.12.7.1, 2.13.4.1         │ deep wrapper array nesting wrt UNWRAP_SINGLE_VALUE_ARRAYS    │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-42003                   │
│                                                           ├─────────────────────┤          │                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-42004      │          │                   │ 2.12.7.1, 2.13.4           │ use of deeply nested arrays                                  │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-42004                   │
├───────────────────────────────────────────────────────────┼─────────────────────┤          ├───────────────────┼────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ com.fasterxml.woodstox:woodstox-core                      │ CVE-2022-40151      │          │ 5.0.3             │ 5.4.0, 6.4.0               │ Xstream to serialise XML data was vulnerable to Denial of    │
│ (woodstox-core-5.0.3.jar)                                 │                     │          │                   │                            │ Service attacks...                                           │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-40151                   │
│                                                           ├─────────────────────┤          │                   │                            ├──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-40152      │          │                   │                            │ woodstox to serialise XML data was vulnerable to Denial of   │
│                                                           │                     │          │                   │                            │ Service attacks...                                           │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-40152                   │
├───────────────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ com.google.guava:guava (swagger-codegen-cli-2.4.25.jar)   │ CVE-2018-10237      │ MEDIUM   │ 18.0              │ 24.1.1-jre, 24.1.1-android │ guava: Unbounded memory allocation in AtomicDoubleArray and  │
│                                                           │                     │          │                   │                            │ CompoundOrdering classes allow remote attackers...           │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2018-10237                   │
│                                                           ├─────────────────────┼──────────┤                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2020-8908       │ LOW      │                   │ 30.0                       │ guava: local information disclosure via temporary directory  │
│                                                           │                     │          │                   │                            │ created with unsafe permissions                              │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2020-8908                    │
├───────────────────────────────────────────────────────────┤                     │          ├───────────────────┤                            │                                                              │
│ com.google.guava:guava (guava-28.0.jar)                   │                     │          │ 28.0-jre          │                            │                                                              │
│                                                           │                     │          │                   │                            │                                                              │
│                                                           │                     │          │                   │                            │                                                              │
├───────────────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ com.thoughtworks.xstream:xstream (xstream-1.4.19.jar)     │ CVE-2022-40151      │ HIGH     │ 1.4.19            │                            │ Xstream to serialise XML data was vulnerable to Denial of    │
│                                                           │                     │          │                   │                            │ Service attacks...                                           │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-40151                   │
│                                                           ├─────────────────────┤          │                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-40152      │          │                   │                            │ woodstox to serialise XML data was vulnerable to Denial of   │
│                                                           │                     │          │                   │                            │ Service attacks...                                           │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-40152                   │
│                                                           ├─────────────────────┤          │                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-41966      │          │                   │ 1.4.20                     │ Denial of Service by injecting recursive collections or maps │
│                                                           │                     │          │                   │                            │ based on element's...                                        │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-41966                   │
│                                                           ├─────────────────────┼──────────┤                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ GHSA-3mq5-fq9h-gj7j │ UNKNOWN  │                   │                            │ Denial of Service due to parser crash                        │
│                                                           │                     │          │                   │                            │ https://github.com/advisories/GHSA-3mq5-fq9h-gj7j            │
├───────────────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ commons-fileupload:commons-fileupload                     │ CVE-2023-24998      │ HIGH     │ 1.4               │ 1.5                        │ FileUpload DoS with excessive parts                          │
│ (commons-fileupload-1.4.jar)                              │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2023-24998                   │
├───────────────────────────────────────────────────────────┼─────────────────────┤          ├───────────────────┼────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ io.undertow:undertow-core (undertow-core-2.2.7.Final.jar) │ CVE-2021-3690       │          │ 2.2.7.Final       │ 2.0.40.Final, 2.2.10.Final │ undertow: buffer leak on incoming websocket PONG message may │
│                                                           │                     │          │                   │                            │ lead to DoS...                                               │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2021-3690                    │
│                                                           ├─────────────────────┤          │                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2021-3859       │          │                   │ 2.2.15                     │ undertow: client side invocation timeout raised when calling │
│                                                           │                     │          │                   │                            │ over HTTP2                                                   │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2021-3859                    │
│                                                           ├─────────────────────┤          │                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-1259       │          │                   │                            │ undertow: potential security issue in flow control over      │
│                                                           │                     │          │                   │                            │ HTTP/2 may lead to...                                        │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-1259                    │
│                                                           ├─────────────────────┤          │                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-1319       │          │                   │ 2.2.17                     │ undertow: Double AJP response for 400 from EAP 7 results in  │
│                                                           │                     │          │                   │                            │ CPING...                                                     │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-1319                    │
│                                                           ├─────────────────────┤          │                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-2053       │          │                   │ 2.2.19                     │ undertow: Large AJP request may cause DoS                    │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-2053                    │
│                                                           ├─────────────────────┼──────────┤                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2021-3597       │ MEDIUM   │                   │ 2.0.39.Final, 2.2.9.Final  │ undertow: HTTP2SourceChannel fails to write final frame      │
│                                                           │                     │          │                   │                            │ under some circumstances may lead...                         │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2021-3597                    │
│                                                           ├─────────────────────┤          │                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2021-3629       │          │                   │ 2.0.40, 2.2.11             │ undertow: potential security issue in flow control over      │
│                                                           │                     │          │                   │                            │ HTTP/2 may lead to...                                        │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2021-3629                    │
│                                                           ├─────────────────────┤          │                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-2764       │          │                   │                            │ Undertow: DoS can be achieved as Undertow server waits for   │
│                                                           │                     │          │                   │                            │ the LAST_CHUNK...                                            │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-2764                    │
├───────────────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ net.minidev:json-smart (nimbus-jose-jwt-9.21.jar)         │ CVE-2023-1370       │ HIGH     │ 2.4.7             │ 2.4.9                      │ Uncontrolled Resource Consumption vulnerability in           │
│                                                           │                     │          │                   │                            │ json-smart (Resource Exhaustion)                             │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2023-1370                    │
├───────────────────────────────────────────────────────────┤                     │          ├───────────────────┤                            │                                                              │
│ net.minidev:json-smart (json-smart-2.4.8.jar)             │                     │          │ 2.4.8             │                            │                                                              │
│                                                           │                     │          │                   │                            │                                                              │
│                                                           │                     │          │                   │                            │                                                              │
├───────────────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.apache.commons:commons-configuration2                 │ CVE-2022-33980      │ CRITICAL │ 2.7               │ 2.8                        │ Apache Commons Configuration insecure interpolation defaults │
│ (commons-configuration2-2.7.jar)                          │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-33980                   │
├───────────────────────────────────────────────────────────┼─────────────────────┤          ├───────────────────┼────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.apache.cxf:cxf-core (cxf-core-3.3.12.jar)             │ CVE-2022-46364      │          │ 3.3.12            │ 3.4.10, 3.5.5              │ SSRF Vulnerability                                           │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-46364                   │
│                                                           ├─────────────────────┼──────────┤                   │                            ├──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-46363      │ HIGH     │                   │                            │ Apache CXF: directory listing / code exfiltration            │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-46363                   │
├───────────────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.jboss.resteasy:resteasy-undertow                      │ CVE-2023-0482       │ MEDIUM   │ 4.7.1.Final       │                            │ creation of insecure temp files                              │
│ (resteasy-undertow-4.7.1.Final.jar)                       │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2023-0482                    │
├───────────────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.json:json (swagger-codegen-cli-2.4.25.jar)            │ CVE-2022-45688      │ HIGH     │ 20210307          │ 20230227                   │ json stack overflow vulnerability                            │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-45688                   │
├───────────────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.yaml:snakeyaml (snakeyaml-1.27.jar)                   │ CVE-2022-1471       │ CRITICAL │ 1.27              │ 2.0                        │ Constructor Deserialization Remote Code Execution            │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-1471                    │
│                                                           ├─────────────────────┼──────────┤                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-25857      │ HIGH     │                   │ 1.31                       │ Denial of Service due to missing nested depth limitation for │
│                                                           │                     │          │                   │                            │ collections                                                  │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-25857                   │
│                                                           ├─────────────────────┼──────────┤                   │                            ├──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-38749      │ MEDIUM   │                   │                            │ Uncaught exception in                                        │
│                                                           │                     │          │                   │                            │ org.yaml.snakeyaml.composer.Composer.composeSequenceNode     │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-38749                   │
│                                                           ├─────────────────────┤          │                   │                            ├──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-38750      │          │                   │                            │ Uncaught exception in                                        │
│                                                           │                     │          │                   │                            │ org.yaml.snakeyaml.constructor.BaseConstructor.constructObj- │
│                                                           │                     │          │                   │                            │ ect                                                          │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-38750                   │
│                                                           ├─────────────────────┤          │                   │                            ├──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-38751      │          │                   │                            │ Uncaught exception in                                        │
│                                                           │                     │          │                   │                            │ java.base/java.util.regex.Pattern$Ques.match                 │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-38751                   │
│                                                           ├─────────────────────┤          │                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-38752      │          │                   │ 1.32                       │ Uncaught exception in java.base/java.util.ArrayList.hashCode │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-38752                   │
│                                                           ├─────────────────────┤          │                   │                            ├──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-41854      │          │                   │                            │ DoS via stack overflow                                       │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-41854                   │
├───────────────────────────────────────────────────────────┼─────────────────────┼──────────┼───────────────────┼────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.yaml:snakeyaml (swagger-codegen-cli-2.4.25.jar)       │ CVE-2022-1471       │ CRITICAL │ 1.29              │ 2.0                        │ Constructor Deserialization Remote Code Execution            │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-1471                    │
│                                                           ├─────────────────────┼──────────┤                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-25857      │ HIGH     │                   │ 1.31                       │ Denial of Service due to missing nested depth limitation for │
│                                                           │                     │          │                   │                            │ collections                                                  │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-25857                   │
│                                                           ├─────────────────────┼──────────┤                   │                            ├──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-38749      │ MEDIUM   │                   │                            │ Uncaught exception in                                        │
│                                                           │                     │          │                   │                            │ org.yaml.snakeyaml.composer.Composer.composeSequenceNode     │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-38749                   │
│                                                           ├─────────────────────┤          │                   │                            ├──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-38750      │          │                   │                            │ Uncaught exception in                                        │
│                                                           │                     │          │                   │                            │ org.yaml.snakeyaml.constructor.BaseConstructor.constructObj- │
│                                                           │                     │          │                   │                            │ ect                                                          │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-38750                   │
│                                                           ├─────────────────────┤          │                   │                            ├──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-38751      │          │                   │                            │ Uncaught exception in                                        │
│                                                           │                     │          │                   │                            │ java.base/java.util.regex.Pattern$Ques.match                 │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-38751                   │
│                                                           ├─────────────────────┤          │                   ├────────────────────────────┼──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-38752      │          │                   │ 1.32                       │ Uncaught exception in java.base/java.util.ArrayList.hashCode │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-38752                   │
│                                                           ├─────────────────────┤          │                   │                            ├──────────────────────────────────────────────────────────────┤
│                                                           │ CVE-2022-41854      │          │                   │                            │ DoS via stack overflow                                       │
│                                                           │                     │          │                   │                            │ https://avd.aquasec.com/nvd/cve-2022-41854                   │
└───────────────────────────────────────────────────────────┴─────────────────────┴──────────┴───────────────────┴────────────────────────────┴──────────────────────────────────────────────────────────────┘

Do you have any documentation further explaining whether they apply to EJBCA? Additionally, do you plan to update those components for new releases?

Thanks in advance! 😁

[primetomas]

• Yes, we always update components regularly.
• It's a bit different what is actually run on server side and what's included in the zip file. To see what is actually used in runtime, scan the built ejbca.ear file to avoid flagging test libs
• As first step you can probably figure out as first step which affects by doing the above, and reading the CVE to see what it's actually about.
• There will be a few items left to analyze further.

Cheers,
Tomas