PT-2022-6257 · Apache+1 · Apache Linkis+1

Bearcat + 3 · Publicado 2022-11-03 · Atualizado 2023-02-07 · CVE-2022-44645

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões 1.3.0 e anteriores do Apache Linkis

Descrição

Existe uma vulnerabilidade de deserialização no Apache Linkis quando usado com o MySQL Connector/J, permitindo um possível impacto de execução remota de código. Isso ocorre quando um invasor tem acesso de gravação a um banco de dados e configura uma nova fonte de dados com uma fonte de dados MySQL e parâmetros maliciosos. Os parâmetros na URL jdbc devem ser colocados na lista negra para impedir a exploração.

Recomendações

Para as versões 1.3.0 e anteriores do Apache Linkis, atualize para a versão 1.3.1 para resolver o problema. Como solução temporária, considere colocar os parâmetros maliciosos na URL jdbc na lista de bloqueio para minimizar o risco de exploração. Restrinja o acesso ao MySQL Connector/J para impedir que invasores configurem novas fontes de dados com parâmetros maliciosos.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

BDU:2023-00672

CVE-2022-44645

GHSA-H6W8-52MQ-4QXC

Produtos afetados

Apache Linkis

Mysql Connector/J

Referências · 10

• https://github.com/apache/linkis · Nota
• https://lists.apache.org/thread/zlcfmvt65blqc4n6fxypg6f0ns8fqfz4 · Aviso do Fabricante
• https://github.com/advisories/GHSA-h6w8-52mq-4qxc · Nota
• https://osv.dev/vulnerability/GHSA-h6w8-52mq-4qxc · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-44645 · Nota de Segurança
• https://bdu.fstec.ru/vul/2023-00672 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-44645 · Aviso do Fabricante
• https://vuldb.com/ru/?id.219791 · Nota
• https://t.me/cibsecurity/57214 · Publicação no Telegram
• https://inergency.com/cve-2022-44645 · Nota