CVE-2023-49566

Nome do software vulnerável e versões afetadas:

Versões do Apache Linkis <=1.5.0

Descrição:

O problema está relacionado à falta de filtragem eficaz dos parâmetros no módulo DataSource Manager do Apache Linkis. Isso permite que um invasor configure parâmetros db2 maliciosos, resultando em injeção JNDI. Para que o ataque seja executado, o invasor precisa obter uma conta autorizada no Linkis.

Recomendações:

Para versões do Apache Linkis <=1.5.0, atualize o Linkis para a versão 1.6.0. Como solução temporária, considere colocar os parâmetros da URL do DB2 na lista negra para minimizar o risco de exploração. Restrinja o acesso ao Módulo DataSource Manager apenas a contas autorizadas.