【漏洞预警】Apache Submarine SQL 注入漏洞CVE-2023-37924

漏洞描述：
Apache Submarine是一个端到端的机器学习平台，允许数据科学家创建完整的机器学习工作流程，涵盖数据探索、数据管道创建、模型训练、服务以及监控的每个阶段。Apache Submarine存在SQL注入漏洞，由于在SysDeptMapper.xml、SysUserMapper.xml等文件中的SQL语句使用了"$"参数符号，导致用户可控的输入直接拼接到SQL语句中。未授权的攻击者可以通过向/sys/searchSelect等接口发送恶意的keyword参数，从而执行恶意的SQL语句。

影响范围：
0.7.0<=apache-submarine<0.8.0.dev0

修复方案：
将组件 org.apache.submarine:submarine-server 升级至 0.8.0 及以上版本

其他修复方法:
目前官方已有可更新版本，建议受影响用户升级至最新版本

缓解方案:
暂无

参考链接:
https://github.com/apache/submarine/pull/1037/commits/34fb34b68b2e50d2c3bc133b67ba539311644968

https://github.com/apache/submarine/pull/1037

https://lists.apache.org/thread/g99h773vd49n1wyghdq1llv2f83w1b3r

原文始发于微信公众号（飓风网络安全）：【漏洞预警】Apache Submarine SQL 注入漏洞CVE-2023-37924