破绽形容
Apache Zeppelin 是一款基于 Web 可实现交互式数据分析的 notebook 产品。
在 Apache Zeppelin 0.10.1 及以前的版本中“Move folder to Trash”性能存在门路遍历破绽，因为未对 InterpreterSettingManager 类 remove 办法中 id 参数进行正确校验，攻击者可通过结构蕴含../ 的参数实现门路穿梭，利用破绽删除 zeppelin 相干或其余任意文件。
| 破绽名称 | Apache Tomcat 存在 JsonErrorReportValve 注入破绽 |
|---|---|
| 破绽类型 | 注入 |
| 发现工夫 | 2023/1/4 |
| 破绽影响广度 | 个别 |
| MPS 编号 | MPS-2022-64112 |
| CVE 编号 | CVE-2022-45143 |
| CNVD 编号 | – |
影响范畴
org.apache.tomcat:tomcat-catalina@[9.0.40, 9.0.69)
org.apache.tomcat:tomcat-catalina@[10.1.0-M1, 10.1.2)
org.apache.tomcat:tomcat-catalina@(-∞, 8.5.84)
修复计划
降级 org.apache.tomcat:tomcat-catalina 到 8.5.84 或 9.0.69 或 10.1.2 或更高版本
参考链接
https://www.oscs1024.com/hd/MPS-2022-64112
https://nvd.nist.gov/vuln/detail/CVE-2022-45143
https://github.com/apache/tomcat/commit/b336f4e58893ea35114f1e4a415657f723b1298e
https://tomcat.apache.org/security-8.html
情报订阅
OSCS(开源软件供应链平安社区) 通过最快、最全的形式，公布开源我的项目最新的平安危险动静，包含开源组件安全漏洞、事件等信息。同时提供破绽、投毒情报的收费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时取得一手情报信息推送：
https://www.oscs1024.com/cm/?src=sf
具体订阅形式详见：
https://www.oscs1024.com/docs/vuln-warning/intro/?src=sf