PT-2025-2717 · Apache · Apache Linkis

Le1A · Publicado 2025-01-14 · Atualizado 2025-01-18 · CVE-2024-45627

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas: Versões do Apache Linkis anteriores à 1.7.0

Descrição: No Apache Linkis, devido à falta de filtragem efetiva de parâmetros, um atacante que configure parâmetros maliciosos do MySQL JDBC no DataSource Manager Module poderá ler arquivos arbitrários do servidor Linkis. Os parâmetros na URL do MySQL JDBC devem ser incluídos em uma lista de bloqueio. Este ataque requer que o atacante obtenha uma conta autorizada no Linkis antes de poder ser executado.

Recomendações: Para versões do Apache Linkis anteriores à 1.7.0, recomendamos atualizar o Linkis para a versão 1.7.0. Como medida temporária, considere incluir em uma lista de bloqueio os parâmetros na URL do MySQL JDBC para minimizar o risco de exploração. Restrinja o acesso ao DataSource Manager Module para minimizar o risco de exploração. Evite a utilização de parâmetros maliciosos do MySQL JDBC no DataSource Manager Module até que o problema seja resolvido.

Correção

Files Accessible to External Parties

Enumeração de Fraquezas

CWE-552

Identificadores relacionados

CVE-2024-45627

GHSA-8CVQ-3JJP-PH9P

Produtos afetados

Apache Linkis

Referências · 9

• https://github.com/apache/linkis · Nota
• https://twitter.com/CVEnew/status/1880761232606577109 · Publicação no Twitter
• https://twitter.com/oss_security/status/1879187982609195013 · Publicação no Twitter
• https://lists.apache.org/thread/0zzx8lldwoqgzq98mg61hojgpvn76xsh · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-45627 · Nota de Segurança
• https://t.me/cvedetector/15302 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2025/01/14/1 · Nota
• https://osv.dev/vulnerability/CVE-2024-45627 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-8cvq-3jjp-ph9p · Aviso do Fabricante