PT-2024-5100 · Apache · Apache Linkis

Pho3N1X · Publicado 2024-07-13 · Atualizado 2024-08-01 · CVE-2023-46801

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas:

Versões do Apache Linkis <= 1.5.0

Descrição:

O problema está relacionado a uma vulnerabilidade de deserialização no componente MySQL Data Source Handler do Apache Linkis, que pode ser explorada para a execução remota de código. Isso pode ser feito através da injeção de arquivos maliciosos no servidor por meio do jrmp. O ataque requer que o invasor possua uma conta autorizada no Linkis.

Recomendações:

Para versões do Apache Linkis <= 1.5.0, atualize a versão do Java para >= 1.8.0 241.

Para versões do Apache Linkis <= 1.5.0, atualize o Linkis para a versão 1.6.0.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

BDU:2024-05627

CVE-2023-46801

GHSA-JJVC-V8GW-5255

Produtos afetados

Apache Linkis

Referências · 11

• https://github.com/apache/linkis · Nota
• https://osv.dev/vulnerability/GHSA-jjvc-v8gw-5255 · Aviso do Fabricante
• https://vuldb.com/?id.271451 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2023-46801 · Nota de Segurança
• https://linkis.apache.org/download/release-notes-1.6.0 · Nota
• https://osv.dev/vulnerability/CVE-2023-46801 · Aviso do Fabricante
• https://lists.apache.org/thread/0dnzh64xy1n7qo3rgo2loz9zn7m9xgdx · Aviso do Fabricante
• https://openwall.com/lists/oss-security/2024/07/13/6 · Nota
• http://openwall.com/lists/oss-security/2024/07/13/6 · Nota
• https://bdu.fstec.ru/vul/2024-05627 · Nota de Segurança
• https://t.me/cvedetector/851 · Publicação no Telegram