遠端 Oracle Linux 6 主機上安裝的套件受到 ELSA-2023-12103 公告中提及的弱點影響。

  - 在 hsqldb (HyperSQL DataBase) 中使用 java.sql.Statement 或 java.sql.PreparedStatement 來處理未受信任的輸入的套件可能容易受到遠端程式碼執行攻擊。在預設狀況下，可以在類別路徑中呼叫任何 Java 類別的任何靜態方法，這會導致程式碼執行。更新至 2.7.1 版或將系統屬性 hsqldb.method_class_names 設定為允許呼叫的類別，即可防止此問題發生。例如，可以使用 System.setProperty(hsqldb.method_class_names, abc) 或 Java argument
    -Dhsqldb.method_class_names=abc。從 2.7.1 版開始，除了 java.lang.Math 中的類別，所有類別預設皆不可存取，且需要手動啟用。(CVE-2022-41853)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Oracle Linux 6：hsqldb (ELSA-2023-12103)

critical Nessus Plugin ID 171230

版本 1.0