CVE-2022-36364
Təsvir
Apache Calcite Avatica JDBC drayveri `httpclient_impl` bağlantı xüsusiyyəti vasitəsilə təmin edilən sinif adlarına əsasən HTTP klient nümunələri yaradır; lakin drayver, sinfi instansiya etməzdən əvvəl onun gözlənilən interfeysi tətbiq edib-etmədiyini yoxlamır ki, bu da ixtiyari siniflər vasitəsilə yüklənmiş kodun icrasına və nadir hallarda uzaqdan kodun icrasına səbəb ola bilər. Zəifliyi istismar etmək üçün: 1) hücumçunun JDBC bağlantı parametrlərini idarə etmək imtiyazları olmalıdır; 2) və classpath-da zəifliyi olan bir sinif (URL parametri ilə konstruktor və kodu icra etmək imkanı) mövcud olmalıdır. Apache Calcite Avatica 1.22.0 versiyasından başlayaraq, konstruktoru çağırmazdan əvvəl sinfin gözlənilən interfeysi tətbiq etdiyi yoxlanılacaqdır.
Necə düzəltmək olar
- apache apache_calcite_avatica1.22.0 və ya daha yeni versiya
- org.apache.calcite.avatica:avatica-core1.22.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache apache_calcite_avatica | v < 1.22.0 | 1.22.0 |
| org.apache.calcite.avatica:avatica-coreMaven | v < 1.22.0 | 1.22.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.