CVE-2022-39312
Təsvir
Dataease açıq mənbəli məlumat vizuallaşdırma analiz alətidir. 1.15.2 versiyasından əvvəlki Dataease-də deserializasiya zəifliyi mövcuddur. Dataease-də, məlumat mənbəyi funksiyasındakı Mysql məlumat mənbəyi JDBC qoşulma parametrlərini və qoşulacaq Mysql server hədəfini fərdiləşdirə bilər. `backend/src/main/java/io/dataease/provider/datasource/JdbcProvider.java` faylında `MysqlConfiguration` sinfi heç bir parametri filtrləmir. Əgər hücumçu JDBC url-nə bəzi parametrlər əlavə edib zərərli mysql serverinə qoşularsa, mysql jdbc deserializasiya zəifliyini tetikləyə bilər. Deserializasiya zəifliyi vasitəsilə hücumçu sistem əmrlərini icra edə və server imtiyazlarını əldə edə bilər. 1.15.2 versiyasında bu problem üçün yamaq tətbiq edilmişdir.
Necə düzəltmək olar
- dataease dataease1.15.2 və ya daha yeni versiya
- io.dataease:dataease-plugin-common1.15.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| dataease dataease | v < 1.15.2 | 1.15.2 |
| io.dataease:dataease-plugin-commonMaven | v < 1.15.2 | 1.15.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.