【中危】IoTDB 存在远程代码执行漏洞

?漏洞描述

Apache IoTDB是时序数据的数据管理系统，为用户提供数据采集、存储、分析等特定服务。JEXL是一个表达式语言引擎，全称是Java表达式语言(Java Expression Language)，可以在 java 程序中动态地运算一些表达式

在受影响版本中，由于IoTDB通过UDTFJexl.java实现 JEXL 表达式支持。攻击者可以通过配置 UDF，调用 JEXL表达式来执行 JAVA命令，导致存在远程代码执行漏洞。

漏洞名称	IoTDB 存在远程代码执行漏洞
漏洞类型	表达式语言注入
发现时间	2024/1/15
漏洞影响广度	一般
MPS编号	MPS-c4ml-t1ka
CVE编号	CVE-2023-46226
CNVD编号	-

影响范围

iotdb@[1.0.0, 1.3.0)

org.apache.iotdb:iotdb-core@[1.0.0, 1.3.0)

修复方案

将组件 iotdb 升级至 1.3.0 及以上版本

将 org.apache.iotdb:iotdb-server 升级至 1.3.0 及以上版本

参考链接

OSCS | 开源软件供应链安全社区 | 让每一个开源项目变得更安全

NVD - CVE-2023-46226

关于墨菲安全

墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司，核心团队来自于百度、华为、乌云等企业，旗下的 MurphySec 软件供应链安全平台提供资产识别管理、风险检测、安全控制、一键修复等能力。

免费漏洞情报订阅

平台会通过实时监控多方渠道并进行人工分析，一手情报订阅地址：OSCS | 开源软件供应链安全社区 | 让每一个开源项目变得更安全

免费代码安全检测工具

丰富的漏洞库及强大的检测能力，杜绝漏洞带来的风险隐患，工具地址：?墨菲安全 | 为您提供专业的软件供应链安全管理

开源项目

核心检测能力已开源，欢迎各位同学 Star??

https://github.com/murphysecurity/murphysec/?sf=qbyj?