PT-2021-23359 · Apache · Apache Db Ddlutils
Bryan Pendleton
·
Publicado
2021-09-30
·
Atualizado
2021-10-07
·
CVE-2021-41616
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Apache DB DdlUtils versão 1.0
Descrição
A classe BinaryObjectsHelper no Apache DB DdlUtils apresentava uma falha de segurança e utilizava
ObjectInputStream.readObject sem validar os dados de entrada, tornando a deserialização insegura. Essa classe foi criada para a migração de dados de banco de dados com tipos binários SQL entre bancos de dados. O projeto DdlUtils não está mais em desenvolvimento ativo. Foram feitas alterações para corrigir a falha de segurança, incluindo a remoção da classe BinaryObjectsHelper e da versão ddlutils-1.0 da distribuição.Recomendações
Para o Apache DB DdlUtils versão 1.0, as seguintes alterações foram feitas para corrigir o problema:
-
O arquivo BinaryObjectsHelper.java foi excluído do repositório de código-fonte do DdlUtils.
-
A versão ddlutils-1.0 foi removida da Infraestrutura de Distribuição de Versões do Apache.
-
O site do DdlUtils foi atualizado para indicar que o DdlUtils agora está disponível apenas como código-fonte, e não como uma versão empacotada.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Apache Db Ddlutils