PT-2021-5482 · Apache · Apache Dolphinscheduler

Jinchen Sheng · Publicado 2021-01-11 · Atualizado 2021-11-03 · CVE-2021-27644

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do Apache DolphinScheduler anteriores à 1.3.6

Descrição

O problema está relacionado a falhas no gerenciamento de privilégios, permitindo que invasores remotos executem consultas SQL arbitrárias. Especificamente, usuários autorizados podem utilizar injeção de SQL no centro de fontes de dados ao usar uma fonte de dados MySQL com uma senha de conta de login interna.

Recomendações

Para versões anteriores à 1.3.6, atualize para a versão 1.3.6 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao centro de fontes de dados para fontes de dados MySQL com senhas de contas de login internas até que a atualização seja aplicada.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

CWE-264

Identificadores relacionados

BDU:2021-06330

CVE-2021-27644

GHSA-93G4-3PHC-G4XW

Produtos afetados

Apache Dolphinscheduler

Referências · 8

• http://openwall.com/lists/oss-security/2021/11/01/3 · Nota
• https://lists.apache.org/thread.html/r35d6acf021486a390a7ea09e6650c2fe19e72522bd484791d606a6e6%40%3Cdev.dolphinscheduler.apache.org%3E · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-27644 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-93g4-3phc-g4xw · Aviso do Fabricante
• https://t.me/cibsecurity/31538 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2021-06330 · Nota de Segurança
• https://lists.apache.org/thread.html/r35d6acf021486a390a7ea09e6650c2fe19e72522bd484791d606a6e6@%3Cdev.dolphinscheduler.apache.org%3E · Nota
• https://osv.dev/vulnerability/CVE-2021-27644 · Aviso do Fabricante