Apache inlong JDBC URL反序列化漏洞(\t绕过) (CVE-2023-46227)

漏洞类型 输入验证不恰当 发现时间 2023-10-19 漏洞等级 高危
MPS编号 MPS-xsb3-r8jf CVE编号 CVE-2023-46227 漏洞影响广度 一般

漏洞危害

OSCS 描述
Apache InLong 是开源的高性能数据集成框架,方便业务构建基于流式的数据分析、建模和应用。
受影响版本中,由于只对用户输入的 jdbc url 参数中的空格做了过滤,没有对其他空白字符过滤。具备 InLong Web 端登陆权限的攻击者可以使用\t绕过对 jdbc url 中autoDeserialize、allowUrlInLocalInfile、allowLoadLocalInfileInPath参数的检测,进而在MySQL客户端造成任意代码执行、任意文件读取等危害。
参考链接:https://www.oscs1024.com/hd/MPS-xsb3-r8jf

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.apache.inlong:manager-pojo [1.4.0, 1.9.0) 升级 将组件 org.apache.inlong:manager-pojo 升级至 1.9.0 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-xsb3-r8jf

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-xsb3-r8jf

https://github.com/apache/inlong/pull/8814/commits/b5c5cd8f674a76c6ad23973ad4f1c8b2d11a3605

https://github.com/apache/inlong/pull/8814

https://seclists.org/oss-sec/2023/q4/147

(0)
上一篇 2023年10月19日 下午4:00
下一篇 2023年10月21日 下午2:00

相关推荐

  • Apache DolphinScheduler 敏感信息泄漏 (CVE-2023-48796)

    漏洞类型 未授权敏感信息泄露 发现时间 2023-11-24 漏洞等级 高危 MPS编号 MPS-p9et-w8rl CVE编号 CVE-2023-48796 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache DolphinScheduler 是一个分布式、易扩展、可视化的工作流任务调度平台。 受影响版本中,由于没有限制暴露的端点,导致所有端点全部…

    2023年11月26日
    0
  • Cacti<1.2.25 权限升级漏洞 (CVE-2023-31132)

    漏洞类型 关键功能的认证机制缺失 发现时间 2023-09-06 漏洞等级 高危 MPS编号 MPS-j24s-h9mc CVE编号 CVE-2023-31132 漏洞影响广度 小 漏洞危害 OSCS 描述 Cacti 是一个开源的操作监控和故障管理框架。 由于受影响版本的 Cacti 允许在 Web 目录中创建和执行 PHP 文件,当 Windows 系统…

    2023年9月11日
    0
  • Google Chrome<120.0.6099.109 存在类型混淆漏洞 (CVE-2023-6702)

    漏洞类型 使用不兼容类型访问资源(类型混淆) 发现时间 2023-12-13 漏洞等级 高危 MPS编号 MPS-q9kf-nc82 CVE编号 CVE-2023-6702 漏洞影响广度 广 漏洞危害 OSCS 描述 Chrome v8 是 Google Chrome 的 JavaScript 和 WebAssembly 引擎,负责解释和执行 JavaScr…

    2023年12月14日
    0
  • Jira Assets Discovery 组件存在注入漏洞 (CVE-2024-21682)

    漏洞类型 代码注入 发现时间 2024-02-21 漏洞等级 高危 MPS编号 MPS-s5lz-o62n CVE编号 CVE-2024-21682 漏洞影响广度 一般 漏洞危害 OSCS 描述 Assets Discovery 组件是一个网络扫描工具,可与Jira Service Management Cloud、Data Center或Server配合使…

    2024年2月21日
    0
  • Google Chrome<120.0.6099.199 存在释放后使用漏洞 (CVE-2024-0222)

    漏洞类型 UAF 发现时间 2024-01-04 漏洞等级 高危 MPS编号 MPS-ler0-8tok CVE编号 CVE-2024-0222 漏洞影响广度 广 漏洞危害 OSCS 描述 Google Chrome 是 Google 公司开发的网页浏览器。ANGLE 是 Google Chrome 中用于提供图形API的库,包括 OpenGL ES 和 V…

    2024年1月5日
    0