Am 21.03.2024 wurde eine kritische Sicherheitslücke wurde in der Big Data-Analyseplattform Apache Doris bekannt, die Versionen von 1.2.0 bis 2.0.4 betrifft. Die Schwachstelle CVE-2024-27438 erlaubt die Ausführung von Remote-Code durch den Download von Code ohne Integritätsprüfung.
Im Detail betrifft die Schwachstelle die JDBC-Treiberdateien, die für den JDBC-Katalog verwendet werden. Diese Dateien werden ohne eine angemessene Überprüfung ihrer Integrität geladen, was potenziell zu einer Ausführung von Remote-Code führen kann. Sobald ein Angreifer autorisiert ist, einen JDBC-Katalog zu erstellen, kann er eine beliebige Treiber-JAR-Datei mit nicht überprüftem Code-Snippet verwenden. Dieses Code-Snippet wird ausgeführt, wenn der Katalog initialisiert wird, ohne dass eine Überprüfung stattfindet.
Benutzer von Apache Doris werden dringend dazu aufgefordert, auf die Version 2.0.5 oder 2.1.x zu aktualisieren, in denen das Problem behoben wurde. Diese neueren Versionen enthalten Patches, die die Integrität der heruntergeladenen JDBC-Treiberdateien überprüfen, um die Sicherheit der Plattform zu gewährleisten.
Ähnliche Beiträge:
Professionelle Hilfe erwünscht?
Sentiguard ist spezialisiert auf Notfallhilfe nach Cyberattacken, IT Sicherheitsbeauftragte und IT Sicherheitskonzepte nach BSI Standard. Haben Sie Fragen und wünschen Sie unverbindliche Beratung, dann melden Sie sich gerne bei uns: