Amazon Redshift JDBC Driver<2.1.0.28 SQL注入漏洞 (CVE-2024-32888)

漏洞类型 SQL注入 发现时间 2024-05-15 漏洞等级 严重
MPS编号 MPS-yg3n-dx5h CVE编号 CVE-2024-32888 漏洞影响广度

漏洞危害

OSCS 描述
Amazon Redshift 的 JDBC 驱动程序是一个 Type 4 JDBC 驱动程序,通过 Java 平台企业版提供的标准 JDBC 应用程序接口(API)实现数据库连接。
在 2.1.0.28 版本之前,使用非默认连接属性 preferQueryMode=simple 会导致 SQL 注入漏洞,而默认的扩展查询模式不存在此问题。preferQueryMode 参数并不受 Redshift JDBC 驱动程序支持,它是从 Postgres JDBC 驱动程序继承的代码。未更改默认设置的用户不受影响。此问题在 2.1.0.28 版本中已修复。避免使用 preferQueryMode=simple 可缓解此漏洞。(注意:默认使用扩展查询模式的用户不受影响。)
参考链接:https://www.oscs1024.com/hd/MPS-yg3n-dx5h

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
com.amazon.redshift:redshift-jdbc42 (-∞, 2.1.0.28) 升级 将组件 com.amazon.redshift:redshift-jdbc42 升级至 2.1.0.28 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-yg3n-dx5h

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-yg3n-dx5h

https://nvd.nist.gov/vuln/detail/CVE-2024-32888

https://github.com/aws/amazon-redshift-jdbc-driver/commit/0d354a5f26ca23f7cac4e800e3b8734220230319

https://github.com/aws/amazon-redshift-jdbc-driver/security/advisories/GHSA-x3wm-hffr-chwm

(0)
上一篇 2024年5月15日
下一篇 2024年5月16日

相关推荐

  • Splunk Enterprise for Windows 反序列化漏洞 (CVE-2024-23678)

    漏洞类型 输入验证不恰当 发现时间 2024-01-23 漏洞等级 高危 MPS编号 MPS-qxjm-zyb4 CVE编号 CVE-2024-23678 漏洞影响广度 一般 漏洞危害 OSCS 描述 Splunk 是一个机器数据引擎,用于收集、索引和利用应用程序、服务器和设备生成的快速移动型计算机数据 。 Splunk Enterprise for Win…

    2024年1月24日
    0
  • FFmpeg < n7.0 堆溢出漏洞 (CVE-2023-51794)

    漏洞类型 堆缓冲区溢出 发现时间 2024-04-28 漏洞等级 高危 MPS编号 MPS-akej-cx6f CVE编号 CVE-2023-51794 漏洞影响广度 一般 漏洞危害 OSCS 描述 FFmpeg 是开源的多媒体框架,支持音频和视频的录制、转换以及流处理,stereowiden filter是其中的音频过滤器,用于增强立体声音轨的空间感。 受…

    漏洞 2024年4月29日
    0
  • Apache Airflow 配置文件敏感信息泄漏 (CVE-2023-35005)

    漏洞类型 未授权敏感信息泄露 发现时间 2023/6/19 漏洞等级 低危 MPS编号 MPS-0dkb-4v51 CVE编号 CVE-2023-35005 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache Airflow 是一个开源的平台,可用于开发、调度和监控批处理工作流。在 Apache Airflow 受影响版本中。当配置文件中存在敏感信息…

    2023年8月30日
    0
  • Apache Ivy<2.5.2 存在XXE漏洞 (CVE-2022-46751)

    漏洞类型 输入验证不恰当 发现时间 2023-08-21 漏洞等级 中危 MPS编号 MPS-2022-67125 CVE编号 CVE-2022-46751 漏洞影响广度 极小 漏洞危害 OSCS 描述 Apache Ivy 是一个管理基于 ANT 项目依赖关系的开源工具,文档类型定义(DTD)是一种文档类型定义语言,它用于定义XML文档中所包含的元素以及元…

    2023年8月22日
    0
  • WPS Office Excel 远程代码执行 (CVE-2023-31275)

    漏洞类型 使用未经初始化的变量 发现时间 2023-11-28 漏洞等级 高危 MPS编号 MPS-ar5t-2oui CVE编号 CVE-2023-31275 漏洞影响广度 广 漏洞危害 OSCS 描述 WPS Office软件是由金山办公软件股份有限公司自主研发的一款办公软件套装。 受影响版本中在处理Excel文件中的Data元素时存在未初始化指针使用漏…

    2023年11月29日
    0