Dremio 存在路径遍历漏洞 (CVE-2024-23768)

漏洞类型 路径遍历 发现时间 2024-01-22 漏洞等级 高危
MPS编号 MPS-joly-0sb2 CVE编号 CVE-2024-23768 漏洞影响广度 一般

漏洞危害

OSCS 描述
Dremio 是一种数据湖查询和分析引擎,它可以直接连接到各种数据源,包括Hadoop、NoSQL数据库和关系数据库。
受影响版本中,经过身份眼中的攻击者可绕过角色访问控制(RBAC),如果攻击者有权访问 source 或 source 中的任意一个文件夹,则通过路径遍历攻击访问其它无权访问的文件夹、文件和数据集。
参考链接:https://www.oscs1024.com/hd/MPS-joly-0sb2

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
dremio [24.0.0, 24.3.1) 升级 将 dremio 升级至 24.3.1 及以上版本
dremio [23.0.0, 23.2.4) 升级 将 dremio 升级至 23.2.4 及以上版本
dremio [22.0.0, 22.2.3) 升级 将组件 dremio 升级至 22.2.3 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-joly-0sb2

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-joly-0sb2

https://nvd.nist.gov/vuln/detail/CVE-2024-23768

https://docs.dremio.com/current/reference/bulletins/2024-01-12-01

(0)
上一篇 2024年1月21日 下午12:00
下一篇 2024年1月23日 下午12:00

相关推荐

  • jeecg-boot/积木报表基于H2驱动的任意代码执行漏洞 [有POC]

    漏洞类型 代码注入 发现时间 2023/8/11 漏洞等级 高危 MPS编号 MPS-bjs4-n6dm CVE编号 – 漏洞影响广度 广 漏洞危害 OSCS 描述 JeecgBoot 是一款开源的的低代码开发平台,积木报表是其中的低代码报表组件。JeecgBoot 受影响版本中,由于 jeecg-boot/jmreport/testConnec…

    2023年9月1日
    0
  • IP包isPublic函数判断不严 (CVE-2023-42282)

    漏洞类型 对数据真实性的验证不充分 发现时间 2024-02-09 漏洞等级 中危 MPS编号 MPS-svdp-96t3 CVE编号 CVE-2023-42282 漏洞影响广度 小 漏洞危害 OSCS 描述 NPM IP包v.1.1.8及之前版本中isPublic()函数针未正确判断16进制形式的IP地址,当应用使用isPublic()函数判断内外网地址时…

    2024年2月12日
    0
  • Google Chrome<120.0.6099.199 存在堆缓冲区溢出漏洞 (CVE-2024-0223)

    漏洞类型 堆缓冲区溢出 发现时间 2024-01-04 漏洞等级 高危 MPS编号 MPS-0xpr-q1kb CVE编号 CVE-2024-0223 漏洞影响广度 广 漏洞危害 OSCS 描述 Google Chrome 是 Google 公司开发的网页浏览器。ANGLE 是 Google Chrome 中用于提供图形API的库,包括 OpenGL ES …

    2024年1月5日
    0
  • libcue<=2.2.1 任意代码执行漏洞【POC公开】 (CVE-2023-43641)

    漏洞类型 越界写入 发现时间 2023-10-10 漏洞等级 高危 MPS编号 MPS-lrb0-1kom CVE编号 CVE-2023-43641 漏洞影响广度 一般 漏洞危害 OSCS 描述 libcue 是一个用于解析和操作 CUE 文件的开源 C 语言库,CUE 文件用于记录光盘音乐信息、轨道布局等信息。GNOME 是UNIX系统/类UNIX操作系统…

    2023年10月11日
    0
  • Apache OFBiz 任意文件读取和 SSRF 漏洞 (CVE-2023-50968)

    漏洞类型 SSRF 发现时间 2023-12-26 漏洞等级 中危 MPS编号 MPS-e3rj-bani CVE编号 CVE-2023-50968 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache OFBiz 是一个开源的企业资源计划系统。 在 getJSONuiLabelArray 接口的处理方法 CommonEvents.java#getJS…

    2023年12月28日
    0