Apache InLong jdbc url敏感参数校验绕过漏洞

[y1ong]

• 漏洞编号: CVE-2023-43668
• 危害定级: 高危
• 漏洞标签: 发布预警 公开漏洞
• 披露日期: 2023-10-16
• 信息来源: https://www.oscs1024.com/cm
• 推送原因: 漏洞创建

漏洞描述

Apache InLong 是开源的高性能数据集成框架，方便业务构建基于流式的数据分析、建模和应用。
由于在mysql jdbc 8.0.11和8.0.12版本中，allowLoadLocalInFile、autoDeserizalize参数的默认值为true。当 InLong 使用受影响的mysql连接器时，具备 InLong Web 端登陆权限的攻击者在配置jdbc url参数时，不需要额外配置的连接参数，可以直接利用漏洞，从而绕过敏感参数检查，造成任意命令执行、任意文件读取等危害。

参考链接

1. https://www.oscs1024.com/hd/MPS-v51a-l298
2. [INLONG-8603][Manager] Fix the vulnerability to security attacks for the MySQL JDBC URL apache/inlong#8604
3. ZhaoNiuniu/inlong@5cd8084
4. https://seclists.org/oss-sec/2023/q4/113