CVE-2024-30923

SQL Injection z możliwością RCE w DerbyNet v9.0 i wcześniejszych

CVSS 9.8v3.1pub. 2024-04-18upd. 2025-11-04

Podatność typu SQL Injection w aplikacji DerbyNet w wersji 9.0 i wcześniejszych umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze. Ze względu na brak wymogu uwierzytelnienia i pełny zakres wpływu na poufność, integralność i dostępność systemu, podatność oceniono jako krytyczną (CVSS 9.8).

▸ Pokaż oryginał (EN)

SQL Injection vulnerability in DerbyNet v9.0 and below allows a remote attacker to execute arbitrary code via the where Clause in Racer Document Rendering

🤖 Analiza AI

Jak działa

Podatność występuje w mechanizmie renderowania dokumentów zawodnika (Racer Document Rendering), gdzie aplikacja nie waliduje poprawnie danych wejściowych przekazywanych w klauzuli WHERE zapytania SQL. Atakujący może spreparować złośliwe żądanie sieciowe zawierające odpowiednio skonstruowany payload SQL, który zostanie wykonany bezpośrednio przez silnik bazy danych. Poprzez nadużycie mechanizmów bazy danych możliwe jest dalsze wykonanie dowolnego kodu (RCE) na podatnym systemie.

Skutki

Atakujący może uzyskać pełną kontrolę nad bazą danych aplikacji, a w konsekwencji wykonać dowolny kod na serwerze, co prowadzi do kompromitacji poufności, integralności oraz dostępności całego systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako dodatkowe środki zaradcze zaleca się ograniczenie dostępu do aplikacji wyłącznie do zaufanych sieci oraz zastosowanie reguł WAF blokujących próby SQL Injection.

Kogo dotyczy

DerbyNet w wersji 9.0 oraz wszystkich wcześniejszych wersjach.

Uwagi

Szczegółowy opis techniczny podatności wraz z dowodem słuszności (proof-of-concept) został opublikowany przez badacza na stronie chocapikk.com oraz w liście full-disclosure (seclists.org, kwiecień 2024), co zwiększa ryzyko wykorzystania podatności przez atakujących.