登录

欢迎user新华三退出

国家 / 地区

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们
docurl=/cn/Products___Technology/Products/IP_Security/Security_Research/Home/Notice/Notice/202211/1715086_30003_0.htm

Apache Linkis 反序列化漏洞通告 （CVE-2022–39944）

【发布时间：2022-11-02】

1. 漏洞综述

1.1 漏洞背景

Linkis是微众银行开源的一款数据中间件，用于解决前台各种工具、应用，和后台各种计算存储引擎间的连接、访问和复用问题。通过使用Linkis 提供的REST/WebSocket/JDBC 等标准接口，上层应用可以方便地连接访问MySQL/Spark/Hive/Presto/Flink 等底层引擎，同时实现变量、脚本、函数和资源文件等用户资源的跨上层应用互通，以及通过REST标准接口提供了数据源管理和数据源对应的元数据查询服务。近日，新华三攻防实验室威胁预警团队监测到Apache官方发布了安全公告，修复了Linkis中的一个反序列化漏洞(CVE-2022-39944)，恶意攻击者成功利用该漏洞可以在目标服务器上执行任意代码。

1.2 漏洞详情

当 Apache Linkis <=1.2.0 ，且同时使用Linkis与 MySQL Connector/J时，由于Linkis未能正确处理用户输入的数据，在恶意攻击者具有对数据库的写入权限并且使用 MySQL 数据源和恶意参数配置 JDBC EC时，可以触发一个反序列化漏洞，恶意攻击者可以利用该漏洞在目标服务器执行任意代码。

2. 影响范围

Apache Linkis <= 1.2.0

3. 严重等级

高危

4. 处置方法

4.1 官方补丁

目前官方已修复该漏洞，请受影响用户尽快安装更新补丁，以免受到影响，官方链接：https://github.com/apache/incubator-linkis/releases

暂时无法升级Linkis的用户可以选择单独升级JDBC EngineConn来暂时缓解，官方链接：https://github.com/apache/incubator-linkis/tree/master/linkis-engineconn-plugins/jdbc

5. 参考链接

https://lists.apache.org/thread/rxytj48q17304snonjtyt5lnlw64gccc

新华三官网
联系我们