OpenRefine mysql jdbc url 远程代码执行漏洞 (CVE-2023-41887)

漏洞类型 代码注入 发现时间 2023-09-13 漏洞等级 高危
MPS编号 MPS-mfdx-l1wn CVE编号 CVE-2023-41887 漏洞影响广度 广

漏洞危害

OSCS 描述
OpenRefine(前称:Google Refine)是一个开源的数据清洗和数据转换工具。
OpenRefine 3.7.5之前版本中,由于 extensions/database 模块未对用户可控的 mysql jdbc url 参数进行过滤,当应用端使用的 mysql-connector-java 组件版本小于 8.0.20 时,未经身份验证攻击者可通过配置 Database 连接地址为恶意 mysql 服务器,将 payload 注入到 url 参数中(如:User参数),并指定 autoDeserialize=true 在进行 JDBC 连接时通过反序列化远程执行任意代码。
参考链接:https://www.oscs1024.com/hd/MPS-mfdx-l1wn

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.openrefine:database [3.6.0, 3.7.5) 更新 升级org.openrefine:database到 3.7.5 或更高版本
补丁 官方已发布补丁:https://github.com/OpenRefine/OpenRefine/commit/693fde606d4b5b78b16391c29d110389eb605511
参考链接:https://www.oscs1024.com/hd/MPS-mfdx-l1wn

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-mfdx-l1wn

https://nvd.nist.gov/vuln/detail/CVE-2023-41887

https://github.com/advisories/GHSA-p3r5-x3hr-gpg5

https://github.com/OpenRefine/OpenRefine/commit/693fde606d4b5b78b16391c29d110389eb605511

(0)
上一篇 2023年9月14日 下午12:00
下一篇 2023年9月14日 下午12:00

相关推荐

  • Spring Web UriComponentsBuilder主机名校验不当 (CVE-2024-22262)

    漏洞类型 SSRF 发现时间 2024-04-11 漏洞等级 高危 MPS编号 MPS-on8i-6ldy CVE编号 CVE-2024-22262 漏洞影响广度 一般 漏洞危害 OSCS 描述 Spring Framework 是一个开源的Java应用程序框架,UriComponentsBuilder是Spring Web中用于构建和操作URI的工具类。 …

    漏洞 2024年4月15日
    0
  • Sudo <1.9.15 故障注入导致权限提升漏洞 (CVE-2023-42465)

    漏洞类型 非预期数据类型处理不恰当 发现时间 2023-12-23 漏洞等级 中危 MPS编号 MPS-03xh-sirc CVE编号 CVE-2023-42465 漏洞影响广度 广 漏洞危害 OSCS 描述 Sudo 是一款使用于类Unix系统的,允许用户通过安全的方式使用特殊的权限执行命令的程序。 Sudo 1.9.15 之前的版本存在绕过认证或特权升级…

    2023年12月26日
    0
  • WPS Office Excel 远程代码执行 (CVE-2023-31275)

    漏洞类型 使用未经初始化的变量 发现时间 2023-11-28 漏洞等级 高危 MPS编号 MPS-ar5t-2oui CVE编号 CVE-2023-31275 漏洞影响广度 广 漏洞危害 OSCS 描述 WPS Office软件是由金山办公软件股份有限公司自主研发的一款办公软件套装。 受影响版本中在处理Excel文件中的Data元素时存在未初始化指针使用漏…

    2023年11月29日
    0
  • MeterSphere 未授权访问漏洞 (CVE-2023-38494) [有POC]

    漏洞类型 未授权敏感信息泄露 发现时间 2023/8/5 漏洞等级 中危 MPS编号 MPS-gxew-hdmv CVE编号 CVE-2023-38494 漏洞影响广度 小 漏洞危害 OSCS 描述 在 webapp、standalone 版本中使用了 commons-beanutils 组件来进行对象反序列化。由于commons-beanutils中存在一…

    2023年8月11日
    0
  • Microsoft Word NTLM哈希信息泄露漏洞 (CVE-2023-36761)

    漏洞类型 未授权敏感信息泄露 发现时间 2023-09-13 漏洞等级 中危 MPS编号 MPS-mir2-plxk CVE编号 CVE-2023-36761 漏洞影响广度 广 漏洞危害 OSCS 描述 Microsoft Office Word是微软公司的一个文字处理器应用程序。 Microsoft Word受影响版本中存在信息泄露漏洞,使用预览窗格对文件…

    2023年9月14日
    0