PT-2022-26099 · Hsqldb+4 · Hsqldb+4
Publicado
2022-06-10
·
Atualizado
2023-12-22
·
CVE-2022-41853
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do hsqldb anteriores à 2.7.1
Descrição
O problema afeta aqueles que utilizam
java.sql.Statement ou java.sql.PreparedStatement no hsqldb para processar entradas não confiáveis, tornando-os vulneráveis a um ataque de execução remota de código. Por padrão, é permitido chamar qualquer método estático de qualquer classe Java no classpath, resultando na execução de código.Recomendações
Para versões anteriores à 2.7.1, atualize para a versão 2.7.1 ou defina a propriedade do sistema
hsqldb.method class names com as classes que podem ser chamadas, por exemplo, usando System.setProperty(“hsqldb.method class names”, ‘abc’) ou o argumento Java -Dhsqldb.method class names=“abc”.Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Astra Linux
Centos
Red Hat
Suse
Hsqldb