【漏洞预警】MySQL2远程代码执行漏洞（CVE-2024-21508）

漏洞描述:
mysql2是适用于Node.js的MySQL客户端库,该库的每周下载量超过200万次,近日监测到mysql2存在一个远程代码执行漏洞（CVE-2024-21508）,其CVSS评分为9.8,目前该漏洞的细节及PoC已公开,mysql2版本3.9.4之前,由于readCodeFor函数中未正确验证supportBigNumbers和bigNumberStrings值,威胁者可通过构造恶意对象并将其作为参数传递给 connection.query函数来执行恶意JavaScript 代码,从而导致远程代码执行。

poc:

 {sql:`SELECT INDEX_LENGTH FROM information_schema.tables LIMIT 1`, supportBigNumbers:"console.log(1337)"}

影响范围:

mysql2 (npm) < 3.9.4

安全措施:
升级版本
目前该漏洞已经修复,受影响用户可更新到mysql2 3.9.4或更高版本

下载链接:
https://github.com/sidorares/node-mysql2/releases

临时措施:

暂无

参考链接:
https://github.com/sidorares/node-mysql2/pull/2572

原文始发于微信公众号（飓风网络安全）：【漏洞预警】MySQL2远程代码执行漏洞（CVE-2024-21508）