1. 墨知首页
  2. 漏洞

Apache inlong JDBC URL反序列化漏洞(\t绕过) (CVE-2023-46227)

• 漏洞
漏洞类型 输入验证不恰当 发现时间 2023-10-19 漏洞等级 高危
MPS编号 MPS-xsb3-r8jf CVE编号 CVE-2023-46227 漏洞影响广度 一般
目录 隐藏
1 漏洞危害
2 影响范围及处置方案
2.1 OSCS 平台影响范围和处置方案
3 排查方式

漏洞危害

OSCS 描述
Apache InLong 是开源的高性能数据集成框架，方便业务构建基于流式的数据分析、建模和应用。
受影响版本中，由于只对用户输入的 jdbc url 参数中的空格做了过滤，没有对其他空白字符过滤。具备 InLong Web 端登陆权限的攻击者可以使用\t绕过对 jdbc url 中autoDeserialize、allowUrlInLocalInfile、allowLoadLocalInfileInPath参数的检测，进而在MySQL客户端造成任意代码执行、任意文件读取等危害。
参考链接：https://www.oscs1024.com/hd/MPS-xsb3-r8jf

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.apache.inlong:manager-pojo [1.4.0, 1.9.0) 升级 将组件 org.apache.inlong:manager-pojo 升级至 1.9.0 及以上版本
参考链接：https://www.oscs1024.com/hd/MPS-xsb3-r8jf

排查方式

方式1：使用漏洞检测CLI工具来排查使用文档：https://www.murphysec.com/docs/faqs/integration/cli.html
方式2：使用漏洞检测IDEA插件排查使用文档：https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3：接入GitLab进行漏洞检测排查使用文档：https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式：https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-xsb3-r8jf

https://github.com/apache/inlong/pull/8814/commits/b5c5cd8f674a76c6ad23973ad4f1c8b2d11a3605

https://github.com/apache/inlong/pull/8814

https://seclists.org/oss-sec/2023/q4/147

赞 (0)
上一篇 2023年10月19日 下午4:00
下一篇 2023年10月21日 下午2:00

相关推荐

  • JeecgBoot<3.5.3 存在 sql 注入漏洞 (CVE-2023-38992) [有POC] 漏洞

    JeecgBoot<3.5.3 存在 sql 注入漏洞 (CVE-2023-38992) [有POC]

    漏洞类型 SQL 注入 发现时间 2023/7/29 漏洞等级 高危 MPS编号 MPS-f2j4-cs6r CVE编号 CVE-2023-38992 漏洞影响广度 广 漏洞危害 OSCS 描述 JeecgBoot 是一款开源的的低代码开发平台。受影响版本中，由于 SysDictController#loadTreeData 未对用户传入的 sql 字符进行…

    2023年8月11日
    0
  • Sudo <1.9.15 故障注入导致权限提升漏洞 (CVE-2023-42465) 漏洞

    Sudo <1.9.15 故障注入导致权限提升漏洞 (CVE-2023-42465)

    漏洞类型 非预期数据类型处理不恰当 发现时间 2023-12-23 漏洞等级 中危 MPS编号 MPS-03xh-sirc CVE编号 CVE-2023-42465 漏洞影响广度 广 漏洞危害 OSCS 描述 Sudo 是一款使用于类Unix系统的，允许用户通过安全的方式使用特殊的权限执行命令的程序。 Sudo 1.9.15 之前的版本存在绕过认证或特权升级…

    2023年12月26日
    0
  • MarkText<=0.17.1 存在DOM型XSS漏洞 (CVE-2023-2318) [有POC] 漏洞

    MarkText<=0.17.1 存在DOM型XSS漏洞 (CVE-2023-2318) [有POC]

    漏洞类型 XSS 发现时间 2023-08-21 漏洞等级 高危 MPS编号 MPS-uvas-0cn2 CVE编号 CVE-2023-2318 漏洞影响广度 广 漏洞危害 OSCS 描述 MarkText 是热门的开源Markdown编辑器，覆盖Windows/Linux/MacOS平台。 MarkText 0.17.1及之前版本中的 pasteCtrl …

    2023年8月22日
    0
  • OGC WPS 服务端请求伪造 (CVE-2023-43795) 漏洞

    OGC WPS 服务端请求伪造 (CVE-2023-43795)

    漏洞类型 SSRF 发现时间 2023-10-25 漏洞等级 高危 MPS编号 MPS-fie8-1z7r CVE编号 CVE-2023-43795 漏洞影响广度 一般 漏洞危害 OSCS 描述 OGC WPS 是一个允许通过网络请求执行各种地理信息任务的地理信息处理标准。 OGC WPS规范允许对外部URL进行引用，导致攻击者能构造恶意请求，引用恶意的外部…

    2023年10月25日
    0
  • Apache Ivy<2.5.2 存在XXE漏洞 (CVE-2022-46751) 漏洞

    Apache Ivy<2.5.2 存在XXE漏洞 (CVE-2022-46751)

    漏洞类型 输入验证不恰当 发现时间 2023-08-21 漏洞等级 中危 MPS编号 MPS-2022-67125 CVE编号 CVE-2022-46751 漏洞影响广度 极小 漏洞危害 OSCS 描述 Apache Ivy 是一个管理基于 ANT 项目依赖关系的开源工具，文档类型定义(DTD)是一种文档类型定义语言,它用于定义XML文档中所包含的元素以及元…

    2023年8月22日
    0