CVE-2023-41916

In Apache Linkis =1.4.0, due to the lack of effective filtering of parameters, an attacker configuring malicious Mysql JDBC parameters in the DataSource Manager Module will trigger arbitrary file reading. Therefore, the parameters in the Mysql JDBC URL should be blacklisted. This attack requires the attacker to obtain an authorized account from Linkis before it can be carried out. Versions of Apache Linkis = 1.4.0 will be affected.  We recommend users upgrade the version of Linkis to version 1.5.0.
References
Link Resource
https://lists.apache.org/thread/dxkpwyoxy1jpdwlpqp15zvo0jxn4v729 Mailing List Vendor Advisory
Configurations

Configuration 1 (hide)

cpe:2.3:a:apache:linkis:*:*:*:*:*:*:*:*

History

16 Jul 2024, 18:06

Type Values Removed Values Added
Summary
  • (es) En Apache Linkis = 1.4.0, debido a la falta de filtrado efectivo de parámetros, un atacante que configure parámetros maliciosos de Mysql JDBC en el módulo DataSource Manager activará la lectura de archivos arbitrarios. Por lo tanto, los parámetros en la URL JDBC de Mysql deben estar en la lista negra. Este ataque requiere que el atacante obtenga una cuenta autorizada de Linkis antes de poder llevarse a cabo. Las versiones de Apache Linkis = 1.4.0 se verán afectadas. Recomendamos a los usuarios actualizar la versión de Linkis a la versión 1.5.0.
First Time Apache linkis
Apache
References () https://lists.apache.org/thread/dxkpwyoxy1jpdwlpqp15zvo0jxn4v729 - () https://lists.apache.org/thread/dxkpwyoxy1jpdwlpqp15zvo0jxn4v729 - Mailing List, Vendor Advisory
CPE cpe:2.3:a:apache:linkis:*:*:*:*:*:*:*:*
CVSS v2 : unknown
v3 : unknown
v2 : unknown
v3 : 6.5

15 Jul 2024, 08:15

Type Values Removed Values Added
New CVE

Information

Published : 2024-07-15 08:15

Updated : 2024-07-16 18:06


NVD link : CVE-2023-41916

Mitre link : CVE-2023-41916

CVE.ORG link : CVE-2023-41916


JSON object : View

Products Affected

apache

  • linkis
CWE
CWE-552

Files or Directories Accessible to External Parties