CVE-2024-47074
Təsvir
DataEase açıq mənbəli məlumat vizuallaşdırma analiz alətidir. DataEase-də, məlumat mənbəyi funksiyasındakı PostgreSQL məlumat mənbəyi JDBC qoşulma parametrlərini və qoşulacaq PG server hədəfini fərdiləşdirə bilir. backend/src/main/java/io/dataease/provider/datasource/JdbcProvider.java faylında PgConfiguration sinfi heç bir parametri filtrləmir və istifadəçi girişini birbaşa birləşdirir. Beləliklə, hücumçu JDBC url-inə bəzi parametrlər əlavə edib zərərli PG serverinə qoşularsa, PG jdbc deserializasiya boşluğunu tetikləyə bilər və nəticədə deserializasiya boşluğu vasitəsilə sistem əmrlərini icra edərək server imtiyazlarını əldə edə bilər. Boşluq v1.18.25 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- dataease dataease1.18.25 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| dataease dataease | v < 1.18.25 | 1.18.25 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.