Apache Linkis: JNDI-Injection im JDBC Datasource-Modul möglich

Am 14. Juli 2024 wurde eine schwerwiegende Sicherheitslücke im JDBC Datasource-Modul von Apache Orchestrierungs Middleware Linkis entdeckt und in der GitHub Advisory Database veröffentlicht. Die Schwachstellen CVE-2023-49566 und CVE-2023-46801, betreffen alle Versionen von Apache Linkis bis einschließlich 1.5.0. Die Schwachstelle wurde als hoch eingestuft und erfordert dringend ein Update auf die Version 1.6.0, um die Sicherheitsrisiken zu minimieren.

Die JNDI-Injection-Schwachstelle tritt auf, wenn das JDBC Datasource-Modul von Apache Linkis unsachgemäß konfiguriert wird. Aufgrund mangelnder Filterung der Parameter können Angreifer, die über ein autorisiertes Konto verfügen, bösartige DB2-Parameter in das DataSource-Manager-Modul einfügen. Dies ermöglicht es ihnen, schädlichen Code über JNDI zu injizieren und auszuführen.

DBei erfolgreicher Ausnutzung dieser Schwachstelle können Angreifer beliebigen Code im Kontext des betroffenen Systems ausführen. Dies könnte zu einem vollständigen Systemkompromiss führen, einschließlich des Zugriffs auf vertrauliche Daten und der Manipulation von Systemressourcen. Die Schwere der Schwachstelle wird durch die CVSS-Basisbewertung von 8.8/10 verdeutlicht.

Tags :

Related Posts

Sicherheitslücken in ServiceNow ermöglicht vollständigen Datenzugriff

Am 11. Juli 2024 berichtete das Sicherheitsforschungsunternehmen Assetnote über eine Kette von drei Schwachstellen, die zusammen ausgenutzt werden können, um vollen Zugriff auf alle ServiceNow-Daten zu erhalten. ServiceNow reagierte schnell auf den Bericht und arbeitete eng mit Assetnote zusammen, um die Schwachstellen zu beheben.

Read More

AT&T zahlt 370.000 US-Dollar an Hacker nach gigantischem Datenleck

Am 14. Juli 2024 wurde nach Aussage der Zeitschrift Wired bekannt, dass der US-Telekommunikationsriese AT&T einem Hacker 370.000 US-Dollar zahlte, um gestohlene Anruf- und Textdaten von Millionen Kunden zu löschen. Diese Zahlung erfolgte im Mai, nachdem ein Mitglied der berüchtigten Hackergruppe ShinyHunters die Daten erbeutet hatte. Die verhandelten Daten betrafen ca. 70 Mio aktive und bereits inaktive Nutzeraccounts und umfassten nahezu alle Sprach und Textnachrichten seiner Mobilfunkkunden.

Read More

Python Setuptools: Schwachstelle ermöglicht RCE

Eine schwerwiegende Schwachstelle wurde in der Python-Bibliothek setuptools entdeckt, die zu Command Injection führen kann. Diese Schwachstelle wurde gestern in der GitHub Advisory Database veröffentlicht.

Read More