mysql2 readCodeFor 远程代码执行漏洞 (CVE-2024-21508)

漏洞类型 代码注入 发现时间 2024-04-11 漏洞等级 严重
MPS编号 MPS-3gmx-vbwq CVE编号 CVE-2024-21508 漏洞影响广度 广

漏洞危害

OSCS 描述
mysql2 是一个 Node.js 中用于与 MySQL 数据库进行交互的软件包。
mysql2 软件包中存在远程代码执行漏洞。由于 readCodeFor 函数未正确验证 supportBigNumbers 和 bigNumberStrings 值,攻击者可以通过构造恶意对象并将其作为参数传递给 connection.query 函数来执行恶意 JavaScript 代码,从而实现远程代码执行。
参考链接:https://www.oscs1024.com/hd/MPS-3gmx-vbwq

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
mysql2 (-∞, 3.9.4) 升级 将 mysql2 升级至 3.9.4 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-3gmx-vbwq

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-3gmx-vbwq

https://nvd.nist.gov/vuln/detail/CVE-2024-21508

https://blog.slonser.info/posts/mysql2-attacker-configuration/

https://github.com/wellwelwel/node-mysql2/commit/c6f329d7f97af3354278f10b997d8406bd9dd136

(0)
上一篇 2024年4月15日
下一篇 2024年4月15日

相关推荐

  • OGC WPS 服务端请求伪造 (CVE-2023-43795)

    漏洞类型 SSRF 发现时间 2023-10-25 漏洞等级 高危 MPS编号 MPS-fie8-1z7r CVE编号 CVE-2023-43795 漏洞影响广度 一般 漏洞危害 OSCS 描述 OGC WPS 是一个允许通过网络请求执行各种地理信息任务的地理信息处理标准。 OGC WPS规范允许对外部URL进行引用,导致攻击者能构造恶意请求,引用恶意的外部…

    2023年10月25日
    0
  • OpenRefine mysql jdbc url 远程代码执行漏洞 (CVE-2023-41887)

    漏洞类型 代码注入 发现时间 2023-09-13 漏洞等级 高危 MPS编号 MPS-mfdx-l1wn CVE编号 CVE-2023-41887 漏洞影响广度 广 漏洞危害 OSCS 描述 OpenRefine(前称:Google Refine)是一个开源的数据清洗和数据转换工具。 OpenRefine 3.7.5之前版本中,由于 extensions/…

    2023年9月14日
    0
  • Splunk Enterprise for Windows 反序列化漏洞 (CVE-2024-23678)

    漏洞类型 输入验证不恰当 发现时间 2024-01-23 漏洞等级 高危 MPS编号 MPS-qxjm-zyb4 CVE编号 CVE-2024-23678 漏洞影响广度 一般 漏洞危害 OSCS 描述 Splunk 是一个机器数据引擎,用于收集、索引和利用应用程序、服务器和设备生成的快速移动型计算机数据 。 Splunk Enterprise for Win…

    2024年1月24日
    0
  • Telegram Windows客户端可执行文件限制不当RCE漏洞 (MPS-38wf-ilyv)

    漏洞类型 不完整的黑名单 发现时间 2024-04-13 漏洞等级 高危 MPS编号 MPS-38wf-ilyv CVE编号 – 漏洞影响广度 小 漏洞危害 OSCS 描述 Telegram是提供开源客户端的跨平台即时通信软件。 在其客户端中通过黑名单限制Windows下可执行文件后缀,由于黑名单列表错误拼写了python zipapp后缀pyz…

    漏洞 2024年4月15日
    0
  • XZ-Utils 5.6.0-5.6.1版本存在后门风险 (CVE-2024-3094)

    漏洞类型 隐藏功能 发现时间 2024-03-30 漏洞等级 严重 MPS编号 MPS-03mz-nh7f CVE编号 CVE-2024-3094 漏洞影响广度 小 漏洞危害 OSCS 描述 XZ-Utils是Linux、Unix等POSIX兼容系统中广泛用于处理.xz文件的套件,包含liblzma、xz等组件,已集成在Debian、Ubuntu、CentO…

    2024年3月30日
    0