Dataease jdbc 反序列化漏洞 (CVE-2024-23328)

漏洞类型 反序列化 发现时间 2024-02-29 漏洞等级 严重
MPS编号 MPS-j54s-zgbo CVE编号 CVE-2024-23328 漏洞影响广度 一般

漏洞危害

OSCS 描述
Dataease是一款开源的数据可视化分析工具。
受影响版本中,由于未对用户输入的数据库连接参数做有效过滤,具有 Dataease 登陆权限的攻击者可通过使用URL编码 jdbc url 中的 autoDeserialize、allowUrlInLocalInfile参数绕过 jdbcUrl 检测,进而读取 MySQL 客户端任意文件或反序列化恶意代码。
参考链接:https://www.oscs1024.com/hd/MPS-j54s-zgbo

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
dataease (-∞, 1.18.15) 升级 将组件 dataease 升级至 1.18.15 及以上版本
io.dataease:core-backend (-∞, 1.18.15) 升级 将 io.dataease:core-backend 升级至 1.18.15 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-j54s-zgbo

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-j54s-zgbo

https://nvd.nist.gov/vuln/detail/CVE-2024-23328

https://github.com/dataease/dataease/commit/4128adf5fc4592b55fa1722a53b178967545d46a

https://github.com/dataease/dataease/commit/bb540e6dc83df106ac3253f331066129a7487d1a

https://github.com/dataease/dataease/security/advisories/GHSA-8x8q-p622-jf25

(0)
上一篇 2024年2月29日 下午12:00
下一篇 2024年3月6日 下午12:00

相关推荐

  • apache-airflow-providers-mongo SSL证书验证不当漏洞 (CVE-2024-25141)

    漏洞类型 证书验证不恰当 发现时间 2024-02-21 漏洞等级 低危 MPS编号 MPS-qd75-4bfu CVE编号 CVE-2024-25141 漏洞影响广度 小 漏洞危害 OSCS 描述 apache-airflow-providers-mongo 是 Apache Airflow 用于连接和操作MongoDB数据库的组件。 apache-air…

    2024年2月21日
    0
  • Apache Pulsar 主题级策略管理模块存在越权漏洞 (CVE-2024-28098)

    漏洞类型 授权检查错误 发现时间 2024-03-13 漏洞等级 中危 MPS编号 MPS-2zt9-up36 CVE编号 CVE-2024-28098 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache Pulsar 是开源的分布式发布-订阅消息传递系统,主题级策略管理模块允许高权限用户(如租户管理员或超级用户角色)对主题应用特定的配置和策略。 受…

    2024年3月14日
    0
  • Notepad++ Utf8_16_Read::convert 缓冲区溢出漏洞 (CVE-2023-40031)

    漏洞类型 经典缓冲区溢出 发现时间 2023-09-06 漏洞等级 高危 MPS编号 MPS-kvs6-ntuq CVE编号 CVE-2023-40031 漏洞影响广度 广 漏洞危害 OSCS 描述 Notepad++ 是一款开源的代码编辑器,Utf8_16_Read::convert 函数用于执行UTF16到UTF8的字符编码转换。 Notepad++ 8…

    2023年9月9日
    0
  • TeamCity<2023.11.4 身份验证绕过漏洞【POC公开】 (CVE-2024-27198)

    漏洞类型 使用候选路径或通道进行的认证绕过 发现时间 2024-03-05 漏洞等级 严重 MPS编号 MPS-lqdy-036z CVE编号 CVE-2024-27198 漏洞影响广度 广 漏洞危害 OSCS 描述 TeamCity 是 JetBrains 公司开发的一款 CI/CD 工具。 JetBrains TeamCity在2023.11.4版本之前…

    2024年3月6日
    0
  • Amazon Redshift JDBC Driver<2.1.0.28 SQL注入漏洞 (CVE-2024-32888)

    漏洞类型 SQL注入 发现时间 2024-05-15 漏洞等级 严重 MPS编号 MPS-yg3n-dx5h CVE编号 CVE-2024-32888 漏洞影响广度 漏洞危害 OSCS 描述 Amazon Redshift 的 JDBC 驱动程序是一个 Type 4 JDBC 驱动程序,通过 Java 平台企业版提供的标准 JDBC 应用程序接口(API)实…

    漏洞 2024年5月15日
    0