PT-2025-17195 · Unknown · Openmetadata

CVE-2024-55238 · Publicado 2025-04-17 · Atualizado 2025-04-22

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do OpenMetadata 1.4.1 e anteriores

Descrição O problema permite que um atacante extraia informações do banco de dados. Isso é realizado por meio da função listCount na interface WorkflowDAO, onde os parâmetros workflowtype e status podem ser manipulados para construir uma consulta SQL.

Recomendações Para as versões 1.4.1 e anteriores do OpenMetadata, como uma medida de contorno temporária, considere restringir o uso dos parâmetros workflowtype e status na função listCount da interface WorkflowDAO até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-55238

GHSA-X8PM-WRG2-MQMX

Produtos afetados

Openmetadata

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/55xxx/CVE-2024-55238.json · Exploit
• 🔥 https://gist.github.com/javadk/68c597cdb94768dab31a3219c2ad9904 · Exploit
• https://github.com/open-metadata/OpenMetadata · Nota
• https://github.com/open-metadata/OpenMetadata/blob/98945cb2db87ebb325d3a72131f049abffcba345/openmetadata-service/src/main/java/org/openmetadata/service/jdbi3/CollectionDAO.java#L4247 · Nota
• https://github.com/open-metadata/OpenMetadata/blob/98945cb2db87ebb325d3a72131f049abffcba345/openmetadata-service/src/main/java/org/openmetadata/service/jdbi3/CollectionDAO.java#L4243 · Nota
• https://github.com/open-metadata/OpenMetadata/commit/47a13e27cf24465c44044ac79654b87dde8d39a8 · Nota
• https://twitter.com/cybercronai/status/1913374652606316678 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-55238 · Aviso do Fabricante
• https://twitter.com/cracbot/status/1914635376796348865 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-x8pm-wrg2-mqmx · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-55238 · Nota de Segurança
• https://twitter.com/CVEnew/status/1913455511132873068 · Publicação no Twitter