IoTDB 存在远程代码执行漏洞 (CVE-2023-46226)

漏洞类型 表达式语言注入 发现时间 2024-01-15 漏洞等级 中危
MPS编号 MPS-c4ml-t1ka CVE编号 CVE-2023-46226 漏洞影响广度 一般

漏洞危害

OSCS 描述
Apache IoTDB是时序数据的数据管理系统,为用户提供数据采集、存储、分析等特定服务。JEXL是一个表达式语言引擎,全称是Java表达式语言(Java Expression Language),可以在 java 程序中动态地运算一些表达式
在受影响版本中,由于IoTDB通过UDTFJexl.java实现 JEXL 表达式支持。攻击者可以通过配置 UDF,调用 JEXL表达式来执行 JAVA命令,导致存在远程代码执行漏洞。
参考链接:https://www.oscs1024.com/hd/MPS-c4ml-t1ka

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
iotdb [1.0.0, 1.3.0) 升级 将组件 iotdb 升级至 1.3.0 及以上版本
org.apache.iotdb:iotdb-core [1.0.0, 1.3.0) 升级 将 org.apache.iotdb:iotdb-server 升级至 1.3.0 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-c4ml-t1ka

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-c4ml-t1ka

https://nvd.nist.gov/vuln/detail/CVE-2023-46226

(0)
上一篇 2024年1月16日 下午8:00
下一篇 2024年1月17日 下午6:00

相关推荐

  • Oracle WebLogic Server 存在远程代码执行漏洞 (CVE-2023-22089)

    漏洞类型 授权机制不恰当 发现时间 2023-10-18 漏洞等级 严重 MPS编号 MPS-2022-68674 CVE编号 CVE-2023-22089 漏洞影响广度 一般 漏洞危害 OSCS 描述 Oracle WebLogic Server是一个用于构建、部署和管理企业级Java应用程序。 Oracle WebLogic Server受影响版本存在远…

    2023年10月19日
    0
  • Apache Kylin kylin.properties 信息泄漏 (CVE-2023-29055)

    漏洞类型 未授权敏感信息泄露 发现时间 2024-01-29 漏洞等级 低危 MPS编号 MPS-2023-9183 CVE编号 CVE-2023-29055 漏洞影响广度 小 漏洞危害 OSCS 描述 Apache Kylin是一个开源的分布式分析引擎。 在受影响版本中,服务器配置界面会显示配置文件 kylin.properties 的内容,文件中 kyl…

    2024年1月30日
    0
  • Deno socket 会话数据污染漏洞 (CVE-2024-27935)

    漏洞类型 对错误会话暴露数据元素 发现时间 2024-03-21 漏洞等级 高危 MPS编号 MPS-4dbm-51vn CVE编号 CVE-2024-27935 漏洞影响广度 一般 漏洞危害 OSCS 描述 Deno 是开源的一个简单、现代且安全的 JavaScript 和 TypeScript 运行环境。 在 Deno 的 Node.js 兼容运行环境中…

    2024年3月25日
    0
  • NPM组件包 openssl v2.0 存在命令注入漏洞 (CVE-2023-49210)

    漏洞类型 命令注入 发现时间 2023-11-24 漏洞等级 高危 MPS编号 MPS-z1fn-loy8 CVE编号 CVE-2023-49210 漏洞影响广度 小 漏洞危害 OSCS 描述 openssl(又名node-openssl) NPM组件包是对开源加密仓库 OpenSSL 的封装,用于调用 OpenSSL 实现数据加密和签名。openssl 函…

    2023年11月26日
    0
  • JeecgBoot <=3.5.1 存在sql注入漏洞 ( CVE-2023-34602)

    漏洞类型 SQL注入 发现时间 2023/6/19 漏洞等级 中危 MPS编号 MPS-okys-m9ai CVE编号 CVE-2023-34602 漏洞影响广度 广 漏洞危害 OSCS 描述 JeecgBoot 是一款开源的基于代码生成的快速开发平台。受影响版本中,由于 SystemApiController#queryTableDictItemsByCo…

    2023年8月31日
    0