Dataease jdbc 反序列化漏洞 (CVE-2024-23328)

漏洞类型 反序列化 发现时间 2024-02-29 漏洞等级 严重
MPS编号 MPS-j54s-zgbo CVE编号 CVE-2024-23328 漏洞影响广度 一般

漏洞危害

OSCS 描述
Dataease是一款开源的数据可视化分析工具。
受影响版本中,由于未对用户输入的数据库连接参数做有效过滤,具有 Dataease 登陆权限的攻击者可通过使用URL编码 jdbc url 中的 autoDeserialize、allowUrlInLocalInfile参数绕过 jdbcUrl 检测,进而读取 MySQL 客户端任意文件或反序列化恶意代码。
参考链接:https://www.oscs1024.com/hd/MPS-j54s-zgbo

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
dataease (-∞, 1.18.15) 升级 将组件 dataease 升级至 1.18.15 及以上版本
io.dataease:core-backend (-∞, 1.18.15) 升级 将 io.dataease:core-backend 升级至 1.18.15 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-j54s-zgbo

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-j54s-zgbo

https://nvd.nist.gov/vuln/detail/CVE-2024-23328

https://github.com/dataease/dataease/commit/4128adf5fc4592b55fa1722a53b178967545d46a

https://github.com/dataease/dataease/commit/bb540e6dc83df106ac3253f331066129a7487d1a

https://github.com/dataease/dataease/security/advisories/GHSA-8x8q-p622-jf25

(0)
上一篇 2024年2月29日 下午12:00
下一篇 2024年3月6日 下午12:00

相关推荐

  • WordPress插件 WP Sessions Time Monitoring Full Automatic<1.0.9 Sql注入漏洞 (CVE-2023-5203)

    漏洞类型 SQL注入 发现时间 2023-12-29 漏洞等级 高危 MPS编号 MPS-s92y-4j6l CVE编号 CVE-2023-5203 漏洞影响广度 极小 漏洞危害 OSCS 描述 WP Sessions Time Monitoring Full Automatic 是 WordPress 中用于统计页面和用户活动时间的插件。 WP Sessi…

    2023年12月29日
    0
  • OpenSSL 拒绝服务漏洞 (CVE-2023-6237)

    漏洞类型 对因果或异常条件的不恰当检查 发现时间 2024-01-16 漏洞等级 低危 MPS编号 MPS-x84n-ctrf CVE编号 CVE-2023-6237 漏洞影响广度 一般 漏洞危害 OSCS 描述 OpenSSL 是广泛使用的开源加密库。 在 OpenSSL 3.0.0 到 3.0.12, 3.1.0 到 3.1.4 和 3.2.0 中 ,使…

    2024年1月16日
    0
  • Windows Kerberos 安全特性绕过漏洞 (CVE-2024-20674)

    漏洞类型 身份验证不当 发现时间 2024-01-10 漏洞等级 严重 MPS编号 MPS-srj4-gu7x CVE编号 CVE-2024-20674 漏洞影响广度 广 漏洞危害 OSCS 描述 Microsoft Windows Kerberos 是一个用于在网络集群中进行身份验证的软件。 Windows Kerberos 存在一个安全功能绕过漏洞。拥有…

    2024年1月10日
    0
  • Perl for Windows 任意代码执行漏洞 (CVE-2023-47039)

    漏洞类型 堆缓冲区溢出 发现时间 2024-01-03 漏洞等级 高危 MPS编号 MPS-drzf-wlk7 CVE编号 CVE-2023-47039 漏洞影响广度 一般 漏洞危害 OSCS 描述 Perl 是具有通用、解释型、跨平台性的编程语言。 Perl 受影响的Windows版本中,当运行一个使用 Windows Perl 解释器的可执行文件时,Pe…

    2024年1月3日
    0
  • curl cookie 绕过PSL限制漏洞 (CVE-2023-46218)

    漏洞类型 通过发送数据的信息暴露 发现时间 2023-12-06 漏洞等级 中危 MPS编号 MPS-vdg2-0pwf CVE编号 CVE-2023-46218 漏洞影响广度 小 漏洞危害 OSCS 描述 curl 是用于在各种网络协议之间传输数据的命令行工具。 漏洞利用 curl 的Curl_cookie_add函数中的一个混合大小写的缺陷,允许一个恶意…

    2023年12月7日
    0