Amazon Redshift JDBC Driver<2.1.0.28 SQL注入漏洞 (CVE-2024-32888)

漏洞类型 SQL注入 发现时间 2024-05-15 漏洞等级 严重
MPS编号 MPS-yg3n-dx5h CVE编号 CVE-2024-32888 漏洞影响广度

漏洞危害

OSCS 描述
Amazon Redshift 的 JDBC 驱动程序是一个 Type 4 JDBC 驱动程序,通过 Java 平台企业版提供的标准 JDBC 应用程序接口(API)实现数据库连接。
在 2.1.0.28 版本之前,使用非默认连接属性 preferQueryMode=simple 会导致 SQL 注入漏洞,而默认的扩展查询模式不存在此问题。preferQueryMode 参数并不受 Redshift JDBC 驱动程序支持,它是从 Postgres JDBC 驱动程序继承的代码。未更改默认设置的用户不受影响。此问题在 2.1.0.28 版本中已修复。避免使用 preferQueryMode=simple 可缓解此漏洞。(注意:默认使用扩展查询模式的用户不受影响。)
参考链接:https://www.oscs1024.com/hd/MPS-yg3n-dx5h

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
com.amazon.redshift:redshift-jdbc42 (-∞, 2.1.0.28) 升级 将组件 com.amazon.redshift:redshift-jdbc42 升级至 2.1.0.28 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-yg3n-dx5h

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-yg3n-dx5h

https://nvd.nist.gov/vuln/detail/CVE-2024-32888

https://github.com/aws/amazon-redshift-jdbc-driver/commit/0d354a5f26ca23f7cac4e800e3b8734220230319

https://github.com/aws/amazon-redshift-jdbc-driver/security/advisories/GHSA-x3wm-hffr-chwm

(0)
上一篇 2024年5月11日
下一篇 2024年5月15日

相关推荐

  • Zabbix zbxjson模块缓冲区溢出漏洞 (CVE-2023-32722)

    漏洞类型 经典缓冲区溢出 发现时间 2023-10-12 漏洞等级 严重 MPS编号 MPS-mvg7-3jsp CVE编号 CVE-2023-32722 漏洞影响广度 一般 漏洞危害 OSCS 描述 Zabbix 是开源的网络监控和管理工具,zbxjson用于通过 JSON-RPC 方式与 Zabbix 服务器进行通信,监控项功能用来从主机收集数据(如处理…

    2023年10月14日
    0
  • angular-editor 存储型XSS

    漏洞类型 XSS 发现时间 2023/7/5 漏洞等级 中危 MPS编号 MPS-vg0h-iq7r CVE编号 – 漏洞影响广度 小 漏洞危害 OSCS 描述 angular-editor 是一款适用于 Angular 6-14+ 的简单原生 WYSIWYG/Rich Text 编辑器。在受影响版本中,攻击者通过点击「Insert URL Li…

    2023年8月30日
    0
  • Jenkins CLI 任意文件读取漏洞导致远程代码执行风险 (CVE-2024-23897)

    漏洞类型 路径遍历 发现时间 2024-01-24 漏洞等级 高危 MPS编号 MPS-nw0b-89j6 CVE编号 CVE-2024-23897 漏洞影响广度 一般 漏洞危害 OSCS 描述 Jenkins CLI 是 Jenkins 内置的命令行页面。 Jenkins 受影响版本中使用 args4j 库解析CLI命令参数,该库默认将参数中 @ 字符后的…

    2024年1月25日
    0
  • MinIO 权限提升漏洞 (CVE-2024-24747)

    漏洞类型 权限管理不当 发现时间 2024-02-01 漏洞等级 高危 MPS编号 MPS-80no-taj1 CVE编号 CVE-2024-24747 漏洞影响广度 广 漏洞危害 OSCS 描述 MinIO是一个高性能对象存储服务。 Minio中创建访问密钥时权限继承存在问题。创建新的访问密钥会继承其父密钥对s3:*和admin:*的操作权限,如果在访问密…

    2024年2月2日
    0
  • 【POC已公开】Oracle WebLogic Server 存在JNDI注入漏洞 (CVE-2024-20931)

    漏洞类型 注入 发现时间 2024-02-06 漏洞等级 高危 MPS编号 MPS-epi6-f7cb CVE编号 CVE-2024-20931 漏洞影响广度 一般 漏洞危害 OSCS 描述 Oracle WebLogic Server是一个用于构建、部署和管理企业级Java应用程序。AQjmsInitialContextFactory 是一个允许应用程序使…

    2024年2月7日
    0