CVE-2026-32140
Açıklama
Dataease açık kaynaklı bir veri görselleştirme analiz aracıdır. 2.10.20 sürümünden önce, IniFile parametresini kontrol ederek bir saldırgan, JDBC sürücüsünü saldırgan tarafından kontrol edilen bir yapılandırma dosyasını yüklemeye zorlayabilir. Bu yapılandırma dosyası tehlikeli JDBC özellikleri enjekte edebilir ve bu durum uzaktan kod çalıştırmaya yol açabilir. Redshift JDBC sürücüsü yürütme akışı getJdbcIniFile adlı bir metoda ulaşır. getJdbcIniFile metodu agresif bir otomatik yapılandırma dosyası keşif mekanizması uygular. Açıkça kısıtlanmadığı takdirde rsjdbc.ini adlı bir dosyayı arar. Bir JDBC URL bağlamında kullanıcılar, URL parametreleri aracılığıyla yapılandırma dosyasını açıkça belirtebilir; bu da sunucudaki rastgele dosyaların JDBC yapılandırma dosyaları olarak yüklenmesine olanak tanır. Redshift JDBC sürücü özellikleri dahilinde, IniFile parametresi açıkça desteklenmekte ve harici bir yapılandırma dosyasını yüklemek için kullanılmaktadır. Bu güvenlik açığı 2.10.20 sürümünde giderilmiştir.
Nasıl düzeltilir
- dataease dataease2.10.20 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dataease dataease | v < 2.10.20 | 2.10.20 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.