Apache Dolphinscheduler<3.2.1 存在代码注入漏洞(CVE-2023-51770)

CVE编号

CVE-2023-51770

利用情况

暂无

补丁情况

N/A

披露时间

2024-02-20

漏洞描述

Apache Dolphinscheduler 是开源的分布式任务调度系统。 Apache Dolphinscheduler 3.2.1之前版本中，由于 MySQLDataSourceProcessor 类未对用户可控的数据库连接参数 getJdbcUrl 进行过滤，攻击者可构造恶意的 getJdbcUrl 参数，如将 allowLoadLocalInfile或autoDeserialize 设置为true，进而在目标系统上读取任意文件或反序列化恶意代码。 补丁版本默认将 getJdbcUrl 参数设置为 false 修复此漏洞。

解决建议

"将组件 org.apache.dolphinscheduler:dolphinscheduler-datasource-mysql 升级至 3.2.1 及以上版本"

参考链接
http://www.openwall.com/lists/oss-security/2024/02/20/2
https://github.com/apache/dolphinscheduler/pull/15433
https://lists.apache.org/thread/4t8bdjqnfhldh73gy9p0whlgvnnbtn7g
https://lists.apache.org/thread/gpks573kn00ofxn7n9gkg6o47d03p5rw

CVSS3评分 N/A

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• 用户交互 N/A
• 可用性 N/A
• 保密性 N/A
• 完整性 N/A

N/A

CWE-ID	漏洞类型
CWE-94	对生成代码的控制不恰当（代码注入）

Exp相关链接

- avd.aliyun.com