Apache Superset where_in SQL注入漏洞 (CVE-2023-49736)

漏洞类型 SQL注入 发现时间 2023-12-20 漏洞等级 中危
MPS编号 MPS-7r6y-8nmd CVE编号 CVE-2023-49736 漏洞影响广度 广

漏洞危害

OSCS 描述
Apache Superset 是一个数据可视化和数据探索平台。
Apache Superset 中存在一个名为 where_in 的 JINJA 宏,where_in使用quote方法构建 SQL 查询语句。由于quote未对输入字符串进行适当的转义或参数绑定,导致SQL注入漏洞。攻击者可以通过构造恶意的参数导致SQL注入漏洞,读取数据库敏感信息。
参考链接:https://www.oscs1024.com/hd/MPS-7r6y-8nmd

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
apache-superset (-∞, 2.1.2) 升级 将组件 apache-superset 升级至 2.1.2 及以上版本
apache-superset [3.0.0, 3.0.2) 升级 将组件 apache-superset 升级至 3.0.2 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-7r6y-8nmd

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-7r6y-8nmd

https://nvd.nist.gov/vuln/detail/CVE-2023-49736

https://lists.apache.org/thread/1kf481bgs3451qcz6hfhobs7xvhp8n1p

https://github.com/apache/superset/commit/1d403dab9822a8cee6108669c53e53fad881c751

https://lists.apache.org/thread/1kf481bgs3451qcz6hfhobs7xvhp8n1p

https://github.com/apache/superset/pull/25779

(0)
上一篇 2023年12月18日 下午6:00
下一篇 2023年12月20日 下午12:00

相关推荐

  • Terraform<1.5.7 任意文件写入漏洞 (CVE-2023-4782)

    漏洞类型 路径遍历 发现时间 2023-09-15 漏洞等级 高危 MPS编号 MPS-krc8-d4u9 CVE编号 CVE-2023-4782 漏洞影响广度 广 漏洞危害 OSCS 描述 Terraform 是一个开源的基础设施即代码(IAC)工具,允许用户使用声明性语言定义和配置基础设施资源,如虚拟机、存储、网络等。多数国内外云厂商的基础设施自动化都在…

    2023年9月15日
    0
  • Apache InLong < 1.12.0 JDBC反序列化漏洞 (CVE-2024-26579)

    漏洞类型 反序列化 发现时间 2024-05-09 漏洞等级 高危 MPS编号 MPS-7rbq-ze46 CVE编号 CVE-2024-26579 漏洞影响广度 小 漏洞危害 OSCS 描述 Apache InLong 是开源的高性能数据集成框架,用于业务构建基于流式的数据分析、建模和应用。 受影响版本中,由于 MySQLSensitiveUrlUtils…

    漏洞 2024年5月10日
    0
  • Apache Hadoop YARN Secure Containers 权限提升漏洞 (CVE-2023-26031)

    漏洞类型 输入验证不恰当 发现时间 2023-11-16 漏洞等级 高危 MPS编号 MPS-2023-4973 CVE编号 CVE-2023-26031 漏洞影响广度 小 漏洞危害 OSCS 描述 Apache Hadoop是美国阿帕奇(Apache)基金会的一套开源的分布式系统基础架构。YARN Secure Containers功能用于在隔离的 lin…

    2023年11月17日
    0
  • Apache Dubbo 反序列化漏洞 (CVE-2023-29234)

    漏洞类型 反序列化 发现时间 2023-12-15 漏洞等级 中危 MPS编号 MPS-2023-9469 CVE编号 CVE-2023-29234 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Dubbo 是一款易用、高性能的 WEB 和 RPC 框架。 受影响版本中,由于 ObjectInput.java 文件中 readThrowable …

    2023年12月18日
    0
  • Atlassian Confluence 路径遍历漏洞 (CVE-2024-21677)

    漏洞类型 路径遍历 发现时间 2024-03-20 漏洞等级 高危 MPS编号 MPS-y5pm-1c07 CVE编号 CVE-2024-21677 漏洞影响广度 广 漏洞危害 OSCS 描述 Confluence 是由Atlassian公司开发的企业协作和文档管理工具。 Atlassian Confluence Data Center/Server 在6….

    2024年3月25日
    0