【漏洞通告】CVE-2022-39944 Apache Linkis反序列化漏洞

目录

0x01 漏洞详情

0x02 影响范围

0x03 修复建议

0x04 参考链接

---

0x01 漏洞详情

        Apache Linkis（Incubating）是一个开源的上层应用与底层引擎之间的计算中间件，提供了强大的连接、复用、编排、扩展和处理能力。 10月26日，Apache发布安全公告，修复了Linkis中的一个反序列化漏洞（CVE-2022-39944）。 Apache Linkis版本<=1.2.0并与MySQL Connector/J一起使用时，当对数据库具有写入权限并使用MySQL数据源和恶意参数配置JDBC EC时存在反序列化漏洞，可能导致远程代码执行。

0x02 影响范围

        Apache Linkis 版本 <= 1.2.0

0x03 修复建议

        高危：目前漏洞细节和测试代码暂未公开，但是恶意攻击者可以通过补丁对比方式分析出漏洞触发点，建议受影响用户及时更新至安全版本。

        1、目前官方已发布安全版本修复上述漏洞，建议受影响的用户升级至安全版本。

        下载链接：

        https://github.com/apache/incubator-linkis/releases/tag/1.3.0 

        2、无法升级Apache Linkis的用户也可以选择单独升级JDBC EngineConn。

        下载链接：

        https://github.com/apache/incubator-linkis/tree/master/linkis-engineconn-plugins/jdbc

0x04 参考链接

https://lists.apache.org/thread/rxytj48q17304snonjtyt5lnlw64gccchttps://lists.apache.org/thread/rxytj48q17304snonjtyt5lnlw64gccc