PT-2022-24894 · Dataease · Dataease
Aboutbo
·
Publicado
2022-10-18
·
Atualizado
2022-10-28
·
CVE-2022-39312
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Dataease anteriores à 1.15.2
Descrição
O problema diz respeito a uma vulnerabilidade de deserialização no Dataease, especificamente na função de fonte de dados Mysql, onde os parâmetros de conexão JDBC e o servidor Mysql de destino podem ser personalizados. A classe
MysqlConfiguration em backend/src/main/java/io/dataease/provider/datasource/JdbcProvider.java não filtra nenhum parâmetro, permitindo que um invasor adicione parâmetros maliciosos a uma URL JDBC e se conecte a um servidor MySQL malicioso. Isso pode acionar a vulnerabilidade de deserialização JDBC do MySQL, permitindo que o invasor execute comandos do sistema e obtenha privilégios de servidor.Recomendações
Para versões anteriores à 1.15.2, atualize para a versão 1.15.2 para corrigir o problema. Como solução temporária, considere restringir o acesso à classe
MysqlConfiguration ou desativar a personalização dos parâmetros de conexão JDBC para minimizar o risco de exploração. Evite usar a variável extraParams no endpoint da API afetado até que o problema seja resolvido.Exploit
Correção
Deserialization of Untrusted Data
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Dataease