PT-2024-4766 · Apache · Apache Linkis

Pho3N1X · Publicado 2024-07-13 · Atualizado 2024-07-16 · CVE-2023-41916

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas:

Apache Linkis versão 1.4.0

Descrição:

A vulnerabilidade está relacionada à falta de filtragem eficaz dos parâmetros no módulo DataSource Manager do Apache Linkis, permitindo que um invasor configure parâmetros JDBC do MySQL maliciosos e provoque a leitura arbitrária de arquivos. Para que esse ataque seja executado, o invasor precisa obter uma conta autorizada no Linkis. Os parâmetros na URL do Mysql JDBC devem ser colocados na lista negra para impedir a exploração.

Recomendações:

Para o Apache Linkis versão 1.4.0, recomendamos a atualização para a versão 1.5.0 para resolver o problema. Como solução temporária, considere colocar os parâmetros da URL do Mysql JDBC na lista negra para minimizar o risco de exploração. Restrinja o acesso ao Módulo DataSource Manager apenas a contas autorizadas.

Correção

Files Accessible to External Parties

Enumeração de Fraquezas

CWE-552

Identificadores relacionados

BDU:2024-05289

CVE-2023-41916

GHSA-F22J-9J59-33J4

Produtos afetados

Apache Linkis

Referências · 10

• https://github.com/apache/linkis · Nota
• https://t.me/cvenotify/86201 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2024-05289 · Nota de Segurança
• https://lists.apache.org/thread/dxkpwyoxy1jpdwlpqp15zvo0jxn4v729 · Aviso do Fabricante
• https://t.me/cvedetector/855 · Publicação no Telegram
• https://linkis.apache.org/download/release-notes-1.6.0 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2023-41916 · Nota de Segurança
• http://openwall.com/lists/oss-security/2024/07/13/4 · Nota
• https://osv.dev/vulnerability/CVE-2023-41916 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-f22j-9j59-33j4 · Aviso do Fabricante