Vulnerabilidad en los archivos java.sql.Statement o java.sql.PreparedStatement en hsqldb (HyperSQL DataBase) (CVE-2022-41853)
Gravedad CVSS v3.1:
CRÍTICA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
06/10/2022
Última modificación:
03/02/2023
Descripción
Aquellos que usan los archivos java.sql.Statement o java.sql.PreparedStatement en hsqldb (HyperSQL DataBase) para procesar entradas no confiables pueden ser vulnerables a un ataque de ejecución de código remota. Por defecto es permitido llamar a cualquier método estático de cualquier clase Java en el classpath, resultando en una ejecución de código. El problema puede evitarse al actualizar a versión 2.7.1 o al establecer la propiedad del sistema "hsqldb.method_class_names" a las clases a las que sea permitido llamar. Por ejemplo, puede usarse System.setProperty("hsqldb.method_class_names", "abc") o el argumento de Java -Dhsqldb.method_class_names="abc". A partir de la versión 2.7.1 todas las clases por defecto no son accesibles excepto las de java.lang.Math y deben ser habilitadas manualmente
Impacto
Puntuación base 3.x
9.80
Gravedad 3.x
CRÍTICA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:hsqldb:hypersql_database:*:*:*:*:*:*:*:* | 2.7.1 (excluyendo) | |
| cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:* | ||
| cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página