【漏洞预警】MySQL2远程代码执行漏洞(CVE-2024-21508)

admin 2024年4月16日02:33:31评论40 views字数 600阅读2分0秒阅读模式

【漏洞预警】MySQL2远程代码执行漏洞(CVE-2024-21508)

漏洞描述:
mysql2是适用于Node.js的MySQL客户端库,该库的每周下载量超过200万次,近日监测到mysql2存在一个远程代码执行漏洞(CVE-2024-21508),其CVSS评分为9.8,目前该漏洞的细节及PoC已公开,mysql2版本3.9.4之前,由于readCodeFor函数中未正确验证supportBigNumbers和bigNumberStrings值,威胁者可通过构造恶意对象并将其作为参数传递给 connection.query函数来执行恶意JavaScript 代码,从而导致远程代码执行。

【漏洞预警】MySQL2远程代码执行漏洞(CVE-2024-21508)

【漏洞预警】MySQL2远程代码执行漏洞(CVE-2024-21508)

【漏洞预警】MySQL2远程代码执行漏洞(CVE-2024-21508)

poc:

 {sql:`SELECT INDEX_LENGTH FROM information_schema.tables LIMIT 1`, supportBigNumbers:"console.log(1337)"}

影响范围:

mysql2 (npm) < 3.9.4

安全措施:
升级版本
目前该漏洞已经修复,受影响用户可更新到mysql2 3.9.4或更高版本

下载链接:
https://github.com/sidorares/node-mysql2/releases

临时措施:

暂无

参考链接:
https://github.com/sidorares/node-mysql2/pull/2572

原文始发于微信公众号(飓风网络安全):【漏洞预警】MySQL2远程代码执行漏洞(CVE-2024-21508)

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年4月16日02:33:31
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【漏洞预警】MySQL2远程代码执行漏洞(CVE-2024-21508)http://cn-sec.com/archives/2661433.html

发表评论

匿名网友 填写信息