PT-2022-4972 · Apache · Apache Inlong

4Ra1N + 1 · Publicado 2022-09-15 · Atualizado 2025-05-29 · CVE-2022-40955

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do Apache InLong anteriores à 1.3.0

Descrição

A vulnerabilidade está relacionada à desserialização de dados não confiáveis nos parâmetros da URL de conexão JDBC do MySQL, podendo levar à execução remota de código no servidor Apache InLong. Um invasor com privilégios suficientes para especificar esses parâmetros e gravar dados arbitrários no banco de dados MySQL poderia explorar essa vulnerabilidade.

Recomendações

Para versões anteriores à 1.3.0, atualize para o Apache InLong 1.3.0 ou mais recente. Como solução temporária, considere restringir o acesso ao banco de dados MySQL e limitar os privilégios para especificar parâmetros de URL de conexão JDBC do MySQL até que um patch seja aplicado.

Correção

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-641

CWE-502

Identificadores relacionados

BDU:2022-06168

CVE-2022-40955

GHSA-26M4-QJP9-XMC6

Produtos afetados

Apache Inlong

Referências · 14

• https://github.com/apache/inlong · Nota
• https://bdu.fstec.ru/vul/2022-06168 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2022-40955 · Nota de Segurança
• https://t.me/cibsecurity/50140 · Publicação no Telegram
• https://openwall.com/lists/oss-security/2022/09/22/5 · Nota
• https://lists.apache.org/thread/r1r34y7bchrpmp9jhfdoohzdmk7pj1q1 · Aviso do Fabricante
• https://lists.apache.org/thread/k974vxlj586yw0mw0xvl47mqgzlbsz7j · Nota
• https://osv.dev/vulnerability/GHSA-26m4-qjp9-xmc6 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2022/09/22/5 · Nota
• https://t.me/pentestingnews/28335 · Publicação no Telegram
• https://news.apache.org/foundation/entry/the-apache-news-round-up274 · Nota
• https://t.me/cvenotify/123973 · Publicação no Telegram
• https://github.com/advisories/GHSA-26m4-qjp9-xmc6 · Nota
• https://osv.dev/vulnerability/CVE-2022-40955 · Aviso do Fabricante