OSCS开源安全周报第61期：Apache InLong jdbc url敏感参数校验绕过漏洞 (CVE-2023-43668)- 大数跨境

首页

OSCS开源安全周报第61期：Apache InLong jdbc url敏感参数校验绕过漏洞 (CVE-2023-43668)

OSCS

2023-10-23

导读：OSCS 社区共收录安全漏洞 6 个，针对 NPM 仓库，共监测到 40 个不同版本的投毒组件

本周安全态势综述

OSCS 社区共收录安全漏洞 6 个，公开漏洞值得关注的是Apache InLong jdbc url敏感参数校验绕过漏洞 (CVE-2023-43668)、XXL-RPC 任意代码执行操作 ( CVE-2023-45146)、Oracle WebLogic Server 存在远程代码执行漏洞 ( CVE-2023-22089)、Apache inlong JDBC URL反序列化漏洞(\t绕过) ( CVE-2023-46227)。

针对 NPM 仓库共监测到 40 个不同版本的毒组件。

重要安全漏洞列表

1、Apache InLong jdbc url敏感参数校验绕过漏洞

Apache InLong 是开源的高性能数据集成框架，方便业务构建基于流式的数据分析、建模和应用。

由于在mysql jdbc 8.0.11和8.0.12版本中，allowLoadLocalInFile、autoDeserizalize参数的默认值为true。当 InLong 使用受影响的mysql连接器时，具备 InLong Web 端登陆权限的攻击者在配置jdbc url参数时，不需要额外配置的连接参数，可以直接利用漏洞，从而绕过敏感参数检查，造成任意命令执行、任意文件读取等危害。

参考链接：https://www.oscs1024.com/hd/MPS-v51a-l298

2、XXL-RPC 任意代码执行操作

XXL-RPC是一个基于Netty和Hessian的分布式远程调用框架。Hessian是在Java应用程序中进行对象序列化和反序列化的二进制序列化协议。

XXL-PRC中通过Hessian2Input.readObject反序列化用户输入数据，并依赖了存在漏洞的Caucho Hessian协议实现。

攻击者可能利用该特性，向存在漏洞的RPC server发送恶意数据，执行任意代码。

参考链接：https://www.oscs1024.com/hd/MPS-lv03-dtjx

3、Oracle WebLogic Server 存在远程代码执行漏洞

Oracle WebLogic Server是一个用于构建、部署和管理企业级Java应用程序。

Oracle WebLogic Server受影响版本存在远程代码执行漏洞，允许未经身份验证的攻击者通过 T3、IIOP进行网络访问，导致直接接管 Oracle WebLogic Server 来执行未经授权的操作或访问系统敏感信息。

参考链接：https://www.oscs1024.com/hd/MPS-2022-68674

4、Apache inlong JDBC URL反序列化漏洞(\t绕过)

Apache InLong 是开源的高性能数据集成框架，方便业务构建基于流式的数据分析、建模和应用。

受影响版本中，由于只对用户输入的 jdbc url 参数中的空格做了过滤，没有对其他空白字符过滤。具备 InLong Web 端登陆权限的攻击者可以使用\t绕过对 jdbc url 中autoDeserialize、allowUrlInLocalInfile、allowLoadLocalInfileInPath参数的检测，进而在MySQL客户端造成任意代码执行、任意文件读取等危害。

参考链接：https://www.oscs1024.com/hd/MPS-xsb3-r8jf

5、NPM组件包 @rappiinc/partner-core 等窃取主机敏感信息

当用户安装受影响版本的 @rappiinc/partner-core 和 @syska/aca-gui NPM组件包时会窃取用户的主机名、用户名、用户主目录等信息并发送到攻击者可控的服务器(hxxps://${data[“hn”]}.${data[“un”]}.${data[“hd”]}.rappiinc.rzuw6k993etm4evlbzxzep33jupkd9.oastify.com/ltidi)。

参考链接：https://www.oscs1024.com/hd/MPS-2nhe-ixyp

*查看漏洞详情页，支持免费检测项目中使用了哪些有缺陷的第三方组件