Linux Distros 未修補弱點:CVE-2023-31038

high Nessus Plugin ID 226714

概要

Linux/Unix 主機上安裝的一個或多個套件存有弱點,供應商表示將不會修補。

說明

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件,且供應商未提供可用的修補程式。

- 使用 ODBC appender 將記錄訊息傳送至資料庫時,Log4cxx 中發生 SQL 插入。未針對 SQL 插入正確逸出傳送至資料庫的欄位。至少從 版 0.9.0(2003-08-06 發布) 開始就是如此。請注意,Log4cxx 是 C++ 架構,因此只有 C++ 應用程式會受到影響。
在 1.1.0版之前,如果在編譯程式庫時發現該程式庫,ODBC 附加程式會自動成為 Log4cxx 的一部分。自 1.1.0版起,必須同時明確啟用此功能,才能在其中進行編譯。必須符合三個先決條件,此弱點才有可能發生:1. 使用 ODBC 支援編譯的 Log4cxx (在 1.1.0版之前,會在編譯時自動偵測此問題) 2. 已啟用 ODBCAppender 來記錄訊息,通常是透過設定檔 3 完成。系統會在某個時間點記錄使用者輸入。如果您的應用程式沒有使用者輸入,則不太可能受到影響。建議使用者升級至 1.1.0 版,其可將參數正確係結至 SQL 陳述式,或移轉至除其他資料庫外還支援 ODBC 連線的新 DBAppender 類別。請注意,此修正需要設定檔更新,因為舊版設定檔將無法正確設定。範例如下所示,詳細資訊可在 ODBCAppender 上的 Log4cxx 文件中找到。舊組態程式碼範例:<appender name=SqlODBCAppender class=ODBCAppender> <param name=sql value=INSERT INTO logs (message) VALUES ('%m') />... 此處為其他參數 ...</appender> 已移轉的組態片段具有新的 ColumnMapping 參數:<appender name=SqlODBCAppender class=ODBCAppender> <param name=sql value=INSERT INTO logs (message) VALUES (?) /> <param name=ColumnMapping value=message/>... 此處為其他參數... </appender> (CVE-2023-31038)

請注意,Nessus 依賴供應商報告的套件存在。

解決方案

目前尚未有已知的解決方案。

Plugin 詳細資訊

嚴重性: High

ID: 226714

檔案名稱: unpatched_CVE_2023_31038.nasl

版本: 1.1

類型: local

代理程式: unix

系列: Misc.

已發布: 2025/3/5

已更新: 2025/3/5

支援的感應器: Nessus Agent, Nessus

風險資訊

VPR

風險因素: Medium

分數: 6.7

CVSS v2

風險因素: High

基本分數: 9

時間性分數: 7

媒介: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C

CVSS 評分資料來源: CVE-2023-31038

CVSS v3

風險因素: High

基本分數: 8.8

時間性分數: 7.9

媒介: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

時間媒介: CVSS:3.0/E:P/RL:O/RC:C

弱點資訊

必要的 KB 項目: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched

可被惡意程式利用: true

可輕鬆利用: Exploits are available

弱點發布日期: 2023/5/8

參考資訊

CVE: CVE-2023-31038