CVE-2023-37258

DataEase to narzędzie do wizualizacji i analizy danych typu open source. Wersje przed 2.10.23 mają podatność na path traversal. Przyczyną jest to, że na systemie Windows separator plików to '\', a serwer filtruje tylko znak '/' podczas skracania ciągów. Luka została naprawiona w wersji 2.10.23. Brak znanych obejść.

W DataEase przed wersją 2.10.23 stwierdzono podatność w obsłudze tokenów korporacyjnych. Filtr TokenFilter#doFilter() przekazuje wartość nagłówka X-DE-TOKEN do metody TokenUtils.validate(), która sprawdza jedynie obecność i długość tokena, a następnie funkcja userBOByToken() używa JWT.decode() bez weryfikacji podpisu. Umożliwia to akceptację sfałszowanych tokenów z dowolnymi wartościami uid i oid, gdy licenseValid=true.

W narzędziu DataEase przed wersją 2.10.23 wykryto podatność umożliwiającą zdalne wykonanie kodu (RCE) poprzez połączenie ze źródłem danych Redshift. Atakujący może wczytać kontrolowany plik konfiguracyjny rsjdbc.ini z katalogu tymczasowego, co prowadzi do wykonania kodu w wyniku refleksji podczas normalnego połączenia JDBC.

Dataease, narzędzie do wizualizacji i analizy danych, w wersjach przed 2.10.17 jest podatne na wstrzyknięcie JNDI. Mimo dodania czarnej listy w wersji 2.10.14, atak nadal możliwy jest przez schematy iiop, corbaname oraz iiopname. Podatność została naprawiona w wersji 2.10.17.

Podatność w narzędziu DataEase przed wersją 2.10.23 umożliwia zdalne wykonanie kodu poprzez przesłanie spreparowanego pliku payload.zip za pomocą API Excel /datasource/upload. Atakujący tworzy źródło danych H2 wykorzystujące protokół zip:, a następnie wykonuje zapytanie SQL, które uruchamia prekompilowane aliasy Java w pliku test.mv.db, prowadząc do wykonania dowolnego kodu.

Podatność w narzędziu DataEase przed wersją 2.10.23 umożliwia wykonanie dowolnych zapytań SQL do odczytu danych z podłączonych źródeł danych. Problem występuje w funkcji podglądu SQL, która nie weryfikuje uprawnień dostępu do tabel.

W DataEase przed wersją 2.10.23 uwierzytelnieni użytkownicy mogą przesyłać pliki SVG przez endpointy POST /de2api/templateManage/save lub DataVisualizationServer.decompression. Pliki są zapisywane bez walidacji rozszerzenia, typu MIME ani zawartości, co umożliwia przechowywanie złośliwych skryptów SVG i prowadzi do ataku XSS w kontekście tej samej domeny.

W DataEase przed wersją 2.10.23 zestawy danych typu SQL przechowują kontrolowane przez atakującego wartości domyślne zmiennych SQL, takie jak ${var}, a funkcja SqlparserUtils.handleVariableDefaultValue() wstawia je za pomocą String.replace() bez odpowiedniego escapingu lub parametryzacji, co prowadzi do podatności na wstrzyknięcie SQL (SQL injection) za każdym razem, gdy użytkownik z uprawnieniami do odczytu zestawu danych uzyska do niego dostęp.

W narzędziu DataEase przed wersją 2.10.23 wykryto podatność polegającą na braku walidacji ścieżek w API do masowego usuwania eksportów. Atakujący może wykorzystać sekwencje typu ../ do usunięcia dowolnych katalogów na serwerze poprzez funkcję czyszczenia zadań eksportu.

W DataEase przed wersją 2.10.23 wykryto podatność polegającą na braku walidacji ścieżek w endpointach związanych z zapisem szablonów. Atakujący może wykorzystać kontrolowane nazwy zasobów statycznych oraz zawartość Base64 do przeprowadzenia ataku typu path traversal i zapisu dowolnych plików na serwerze.