Jian Zhou

**Name of the Vulnerable Software and Affected Versions** Apache Kafka versions prior to 3.4.0 Apache Kafka versions 3.4.0 through 3.9.0 **Description** The issue concerns a Remote Code Execution (RCE) and Denial of Service attack via the SASL JAAS JndiLoginModule configuration in the Kafka Connect API and Apache Kafka brokers. To exploit this, an attacker needs to connect to the Kafka cluster and have the AlterConfigs permission on the cluster resource. **Recommendations** For Apache Kafka versions prior to 3.4.0, consider adding the system property "-Dorg.apache.kafka.disallowed.login.modules" to disable the problematic login modules usage in SASL JAAS configuration. For Apache Kafka versions 3.4.0 through 3.9.0, ensure that "com.sun.security.auth.module.JndiLoginModule" is disabled, as it is by default in Apache Kafka 3.4.0. For Apache Kafka versions 3.9.1 and 4.0.0, ensure that "com.sun.security.auth.module.JndiLoginModule,com.sun.security.auth.module.LdapLoginModule" is disabled, as it is by default.

**Nome do Software Vulnerável e Versões Afetadas** MySQL Connectors versões 9.0.0 a 9.2.0 **Descrição** Um problema difícil de explorar no MySQL Connectors permite que um atacante com baixos privilégios e acesso à rede via múltiplos protocolos comprometa o sistema. Ataques bem-sucedidos podem resultar na tomada de controle do MySQL Connectors. **Recomendações** Para as versões 9.0.0 a 9.2.0, atualize para uma versão que contenha uma correção para este problema, pois a versão atual é afetada e pode ser explorada. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do software vulnerável e versões afetadas: IBM Data Virtualization Manager for z/OS, versões 1.1 a 1.2 Descrição: A vulnerabilidade permite que um usuário autenticado insira parâmetros maliciosos na URL JDBC e execute código no servidor. Recomendações: Para as versões 1.1 e 1.2, considere restringir o acesso aos parâmetros de URL JDBC para minimizar o risco de exploração até que uma correção esteja disponível. Como solução alternativa temporária, evite usar parâmetros de URL JDBC maliciosos nos pontos de extremidade da API afetados até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do driver JDBC da Databricks anteriores à 2.6.40 **Descrição** O problema está relacionado ao tratamento inadequado do parâmetro `krbJAASFile`, permitindo que um invasor remoto execute código arbitrário ao acionar uma injeção JNDI por meio de um parâmetro de URL JDBC. Isso poderia potencialmente levar à execução remota de código no contexto do driver. Um invasor poderia explorar essa vulnerabilidade induzindo a vítima a usar uma URL de conexão maliciosa que utilize a propriedade `krbJAASFile`. **Recomendações** Para versões do driver JDBC da Databricks anteriores à 2.6.40, atualize para a versão 2.6.40 ou posterior para resolver o problema. Como solução alternativa temporária, considere aplicar as alterações recomendadas na configuração da JVM até que um patch esteja disponível. Restrinja o acesso ao parâmetro `krbJAASFile` para minimizar o risco de exploração.