PT-2025-3057
CVE-2024-54660
·
تاريخ النشر
2025-01-16
·
تاريخ التحديث
2025-01-18
الوصف من
CVSS 3.1
8.7
عاليةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Cloudera JDBC Connector for Hive، الإصدارات الأقدم من 2.6.26
Cloudera JDBC Connector for Impala، الإصدارات الأقدم من 2.6.35
الوصف
تم اكتشاف ثغرة أمنية تتعلق بحقن JNDI، مما يسمح للمهاجمين بحقن معلمات ضارة في عنوان URL الخاص بـ JDBC. وقد يؤدي ذلك إلى تنفيذ التعليمات البرمجية عن بُعد. ويصبح حقن JNDI ممكنًا من خلال خاصية اتصال JDBC
krbJAASFile الخاصة بخدمة المصادقة والتفويض في Java (JAAS). قد يؤدي استخدام معلمات غير موثوقة في krbJAASFile و/أو المضيف البعيد إلى حدوث حقن JNDI في عنوان URL الخاص بـ JDBC عبر krbJAASFile.التوصيات
بالنسبة إلى Cloudera JDBC Connector for Hive للإصدارات الأقدم من 2.6.26، قم بالتحديث إلى الإصدار 2.6.26 أو أحدث.
بالنسبة لـ Cloudera JDBC Connector for Impala للإصدارات الأقدم من 2.6.35، قم بالتحديث إلى الإصدار 2.6.35 أو أحدث.
كإجراء مؤقت، ضع في اعتبارك تقييد استخدام الخاصية
krbJAASFile في اتصال JDBC لتقليل مخاطر الاستغلال. تجنب استخدام معلمات غير موثوقة في krbJAASFile و/أو المضيف البعيد. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾