Lỗ hổng XML External Entity CVE-2022-39135 được phát hiện trong Apache Calcite

[Sugi_b3o]

Apache Calcite đã công bố về một lỗ hổng XML External Entity (XEE) CVE-2022-39135 do nhà nghiên cứu David Handermann phát hiện.

Apache Calcite được biết đến là một framework quản lý dữ liệu động (dynamic data management framework). Nó chứa nhiều phần bao gồm một hệ thống quản lý cơ sở dữ liệu điển hình nhưng không sử dùng các công nghệ cũ để lưu trữ. Apache Calcite cung cấp bộ cú pháp, phân tích và xác thực SQL tiêu chuẩn, có thể tối ưu hóa và tùy chỉnh với các quy tắc và chức năng chi phí, các cấu trúc logic và vật lý, các thuật toán chuyển đổi khác nhau từ SQL sang đại số (và ngược lại) và nhiều bộ điều hợp để thực hiện các truy vấn SQL qua Cassandra, Druid, Elasticsearch, MongoDB, Kafka và các thuật toán khác.

"Trong Apache Calcite trước phiên bản 1.32.0, các biến trong các hàm như SQL EXISTS_NODE, EXTRACT_XML, XML_TRANSFORM và EXTRACT_VALUE không hạn chế các tham chiếu đối tượng bên ngoài XML trong cấu hình của chúng. Điều này khiến chúng dễ bị tấn công XML External Entity (XXE). Do đó, bất kỳ hệ thống nào cho phép tương tác với các toán tử này bằng cách sử dụng phương ngữ Oracle (ba phương ngữ đầu tiên) hoặc phương ngữ MySQL (phương ngữ cuối cùng), đều bị ảnh hưởng bởi lỗ hổng CVE-2022-39135 (mức độ phụ thuộc vào ứng dụng đang chạy)."

Apache Calcite 1.32.0 sẽ vô hiệu hóa Khai báo loại tài liệu và phân giải đối tượng bên ngoài XML nên người dùng được khuyến cáo nâng cấp Avatica kịp thời để giải quyết lỗi CVE-2022-39135.

Theo Securityonline​