PT-2024-20112 · Unknown+3 · Openrefine+3

L0N3Rs · Publicado 2024-02-12 · Atualizado 2025-02-10 · CVE-2024-23833

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do OpenRefine <= 3.7.7

Descrição

Existe uma vulnerabilidade de ataque JDBC no OpenRefine, na qual um invasor pode construir uma consulta JDBC para ler arquivos no sistema de arquivos do host. Essa vulnerabilidade permite que invasores leiam arquivos confidenciais no servidor de destino; no entanto, devido à biblioteca de drivers MySQL mais recente na versão mais atual do OpenRefine, a execução de código original não pode ser realizada.

Recomendações

Para versões do OpenRefine <= 3.7.7, atualize para a versão 3.7.8 para resolver o problema.

Como solução temporária, considere restringir o acesso à conexão JDBC para minimizar o risco de exploração.

Evite usar os parâmetros allowLoadLocalInfile e allowUrlInLocalInfile na string de conexão JDBC até que o problema seja resolvido.

Exploit

Correção

Incorrect Authorization

Path traversal

Enumeração de Fraquezas

CWE-863

CWE-22

Identificadores relacionados

CVE-2024-23833

GHSA-6P92-QFQF-QWX4

USN-7260-1

Produtos afetados

Debian

Linuxmint

Openrefine

Ubuntu

Referências · 26

• 🔥 https://github.com/OpenRefine/OpenRefine/security/advisories/GHSA-6p92-qfqf-qwx4 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/23xxx/CVE-2024-23833.json · Exploit
• https://github.com/OpenRefine/OpenRefine/commit/41ccf574847d856e22488a7c0987ad8efa12a84a · Correção
• https://github.com/OpenRefine/OpenRefine · Nota
• https://osv.dev/vulnerability/GHSA-6p92-qfqf-qwx4 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-47879 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-23833 · Nota de Segurança
• https://osv.dev/vulnerability/USN-7260-1 · Aviso do Fabricante
• https://twitter.com/cracbot/status/1757350457159327946 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2024-23833 · Nota de Segurança
• https://twitter.com/CVEnew/status/1757139003579457903 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1757185953272049769 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2024-47880 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-23833 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-23833 · Aviso do Fabricante