Department

**Name of the Vulnerable Software and Affected Versions** Apache Linkis versions prior to 1.3.1 **Description** The issue is related to insufficient protection of service data when handling the `allowLoadLocalInfile` parameter with a value of true in the MySQL Connector/J component of Apache Linkis. This could allow a remote attacker to read arbitrary local files by connecting a rogue MySQL server and adding `allowLoadLocalInfile` to true in the JDBC parameter. The parameters in the JDBC URL should be blacklisted to prevent exploitation. **Recommendations** For Apache Linkis versions prior to 1.3.1, upgrade the version of Linkis to version 1.3.1 to resolve the issue. As a temporary workaround, consider blacklisting the parameters in the JDBC URL, specifically the `allowLoadLocalInfile` parameter, to minimize the risk of exploitation. Restrict access to the MySQL Connector/J component to prevent attackers from connecting a rogue MySQL server.

**Nome do software vulnerável e versões afetadas** Versões 1.3.0 e anteriores do Apache Linkis **Descrição** Existe uma vulnerabilidade de deserialização no Apache Linkis quando usado com o MySQL Connector/J, permitindo um possível impacto de execução remota de código. Isso ocorre quando um invasor tem acesso de gravação a um banco de dados e configura uma nova fonte de dados com uma fonte de dados MySQL e parâmetros maliciosos. Os parâmetros na URL jdbc devem ser colocados na lista negra para impedir a exploração. **Recomendações** Para as versões 1.3.0 e anteriores do Apache Linkis, atualize para a versão 1.3.1 para resolver o problema. Como solução temporária, considere colocar os parâmetros maliciosos na URL jdbc na lista de bloqueio para minimizar o risco de exploração. Restrinja o acesso ao MySQL Connector/J para impedir que invasores configurem novas fontes de dados com parâmetros maliciosos.