Apache Linkis <1.6.0 JDBC DataSource任意文件读取漏洞

北京赛克艾威科技有限公司 2024-07-13

漏洞编号：CVE-2023-41916
漏洞等级：高危
漏洞标签：发布预警、公开漏洞
发布时间：2024-07-13

漏洞描述

Apache Linkis 是面向大数据和人工智能应用的开源治理平台。受影响版本中，DataSource Manager 模块对传入的 JDBC URL 和参数检查不足，攻击者可以通过构造恶意 JDBC URL 进行任意文件读取。修复版本中，通过 SecurityUtils.getMysqlSecurityParams\(\) 方法确保 JDBC 参数安全并且增加对相对路径的检查，以修复漏洞。