Dataease jdbc 反序列化漏洞

[y1ong]

• 漏洞编号: CVE-2024-23328
• 危害定级: 严重
• 漏洞标签: 发布预警 公开漏洞
• 披露日期: 2024-02-29
• 信息来源: https://www.oscs1024.com/cm
• 推送原因: 漏洞创建

漏洞描述

Dataease是一款开源的数据可视化分析工具。
受影响版本中，由于未对用户输入的数据库连接参数做有效过滤，具有 Dataease 登陆权限的攻击者可通过使用URL编码 jdbc url 中的 autoDeserialize、allowUrlInLocalInfile参数绕过 jdbcUrl 检测，进而读取 MySQL 客户端任意文件或反序列化恶意代码。

参考链接

1. https://www.oscs1024.com/hd/MPS-j54s-zgbo
2. https://nvd.nist.gov/vuln/detail/CVE-2024-23328
3. dataease/dataease@4128adf
4. dataease/dataease@bb540e6
5. GHSA-8x8q-p622-jf25