CVE-2025-58045
Təsvir
Dataease açıq mənbəli məlumat analitikası və vizuallaşdırma platformasıdır. Dataease-in 2.10.12 daxil olmaqla versiyalarında, DB2 JDBC deserializasiyası vasitəsilə uzaqdan kodun icrası hücumlarını azaltmaq üçün tətbiq edilən yamaq yalnız rmi parametrini qara siyahıya əlavə etmişdir. DB2 JDBC qoşulma sətirindəki ldap parametri filtrlənmədiyi üçün hücumçular server tərəfli sorğu saxtakarlığından (SSRF) istifadə etmək üçün DB2 JDBC qoşulma sətirindən yararlana bilirlər. Java-nın daha yüksək versiyalarında ldap deserializasiyası (autoDeserialize) standart olaraq söndürülmüşdür ki, bu da uzaqdan kodun icrasının qarşısını alır, lakin SSRF hələ də istismar edilə bilir. 2.10.12-yə qədər olan versiyalar təsirlidir. Problem 2.10.13 versiyasında düzəldilmişdir. 2.10.13 və ya daha yeni versiyaya yeniləmək tövsiyə olunur. Yeniləmə ilə bağlı sənədləşdirilmiş digər alternativ həll yolu yoxdur.
Necə düzəltmək olar
- dataease dataease2.10.13 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| dataease dataease | v < 2.10.13 | 2.10.13 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.