PT-2024-5102 · Apache · Apache Linkis

Joyh + 1 · Publicado 2024-07-13 · Atualizado 2024-07-16 · CVE-2023-49566

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas:

Versões do Apache Linkis <=1.5.0

Descrição:

O problema está relacionado à falta de filtragem eficaz dos parâmetros no módulo DataSource Manager do Apache Linkis. Isso permite que um invasor configure parâmetros db2 maliciosos, resultando em injeção JNDI. Para que o ataque seja executado, o invasor precisa obter uma conta autorizada no Linkis.

Recomendações:

Para versões do Apache Linkis <=1.5.0, atualize o Linkis para a versão 1.6.0. Como solução temporária, considere colocar os parâmetros da URL do DB2 na lista negra para minimizar o risco de exploração. Restrinja o acesso ao Módulo DataSource Manager apenas a contas autorizadas.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

BDU:2024-05629

CVE-2023-49566

GHSA-7QPC-4XX9-X5QW

Produtos afetados

Apache Linkis

Referências · 10

• https://github.com/apache/linkis · Nota
• https://lists.apache.org/thread/t68yy52lmv7pxgrxnq6rw7rwvk9tb1xj · Aviso do Fabricante
• https://openwall.com/lists/oss-security/2024/07/13/5 · Nota
• https://osv.dev/vulnerability/CVE-2023-49566 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2023-49566 · Nota de Segurança
• https://t.me/cvedetector/854 · Publicação no Telegram
• https://linkis.apache.org/download/release-notes-1.6.0 · Nota
• https://osv.dev/vulnerability/GHSA-7qpc-4xx9-x5qw · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2024/07/13/5 · Nota
• https://bdu.fstec.ru/vul/2024-05629 · Nota de Segurança