关于Node.js存在操作系统命令注入漏洞和node.js报错的问题就给大家分享到这里，感谢你花时间阅读本站内容，更多关于ApacheAirflowHiveProvider等相关知识的信息别忘了在本站
关于Node.js 存在操作系统命令注入漏洞和node.js报错的问题就给大家分享到这里，感谢你花时间阅读本站内容，更多关于Apache Airflow Hive Provider <4.1.0 存在命令注入漏洞、Apache Airflow Hive Provider <5.0.0 存在命令注入漏洞、Apache Airflow Hive Provider <5.0.0 存在操作系统命令注入漏洞、Apache Airflow Pinot Provider 存在命令注入漏洞等相关知识的信息别忘了在本站进行查找喔。
本文目录一览：- Node.js 存在操作系统命令注入漏洞（node.js报错）
- Apache Airflow Hive Provider <4.1.0 存在命令注入漏洞
- Apache Airflow Hive Provider <5.0.0 存在命令注入漏洞
- Apache Airflow Hive Provider <5.0.0 存在操作系统命令注入漏洞
- Apache Airflow Pinot Provider 存在命令注入漏洞
Node.js 存在操作系统命令注入漏洞（node.js报错）
漏洞描述
Node.js 是一个开源、跨平台的 JavaScript 运行时环境。
由于 CVE-2022-32212 修复不完全，Node.js 的受影响版本中仍存在操作系统命令注入漏洞。漏洞源于发出允许重新绑定攻击的 DBS 请求之前，IsIPAddress 没有正确检查 IP 地址是否无效，导致 Node.js 的 rebinding 保护器允许无效的 IP 地址格式（如：八进制格式）。攻击者可利用此漏洞通过恶意构造八位字节的无效 IP 如（1.09.0.0）绑定到 --inspect 会话中，在浏览器通过 DNS 解析恶意 IP 地址时远程执行恶意代码。
| 漏洞名称 | Node.js 存在操作系统命令注入漏洞 |
|---|---|
| 漏洞类型 | 命令注入 |
| 发现时间 | 2022-12-06 |
| 漏洞影响广度 | 广 |
| MPS编号 | MPS-2022-60662 |
| CVE编号 | CVE-2022-43548 |
| CNVD编号 | - |
影响范围
nodejs@[18.0.0, 18.12.1)
nodejs@[16.0., 16.18.1)
nodejs@[19.0.0, 19.0.1)
nodejs@[14.0.0, 14.21.1)
修复方案
升级nodejs到 14.21.1 或 16.18.1 或 18.12.1 或 19.0.1 或更高版本
参考链接
https://www.oscs1024.com/hd/MPS-2022-60662
https://nvd.nist.gov/vuln/detail/CVE-2022-43548
https://nodejs.org/en/blog/vulnerability/november-2022-security-releases/
https://nodejs.org/en/blog/release/v14.21.1/
情报订阅
OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：
https://www.oscs1024.com/cm/?src=osc
具体订阅方式详见：
https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc
Apache Airflow Hive Provider <4.1.0 存在命令注入漏洞
漏洞描述
Apache Airflow 是一个用于以编程方式创作、安排和监控工作流平台。Apache Airflow Hive Provider 是一个使用 SQL 读取、写入和管理分布式存储中的大型数据集的工具包。
Apache Airflow Hive Provider 在 4.1.0 之前的版本中由于 hive.py 类中没有对 schema（数据库） 参数进行有效过滤，攻击者可在与 Airflow hook 建立 sql 连接时传入恶意的 schema 参数，从而远程执行恶意代码。
| 漏洞名称 | Apache Airflow Hive Provider <4.1.0 存在命令注入漏洞 |
|---|---|
| 漏洞类型 | 命令注入 |
| 发现时间 | 2022-11-22 |
| 漏洞影响广度 | 小 |
| MPS编号 | MPS-2022-57487 |
| CVE编号 | CVE-2022-41131 |
| CNVD编号 | - |
影响范围
apache-airflow-providers-apache-hive@(-∞, 4.1.0)
修复方案
升级apache-airflow-providers-apache-hive到 4.1.0 或更高版本
参考链接
https://www.oscs1024.com/hd/MPS-2022-57487
https://nvd.nist.gov/vuln/detail/CVE-2022-41131
https://github.com/apache/airflow/pull/27647
https://github.com/apache/airflow/pull/27647/commits/5a5f6b6308982f959c13cf2499234b74d7abea94
情报订阅
OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：
https://www.oscs1024.com/cm/?src=osc
具体订阅方式详见：
https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc
Apache Airflow Hive Provider <5.0.0 存在命令注入漏洞
漏洞描述
Apache Airflow 是一个用于以编程方式创作、安排和监控工作流平台。Apache Airflow Hive Provider 是一个使用 SQL 读取、写入和管理分布式存储中的大型数据集的工具包。
Apache Airflow Hive Provider 在 5.0.0 之前的版本中由于对airflow/providers/apache/hive/hooks/hive.py文件中hive_cli_params参数不正确初始化，导致存在命令注入漏洞，攻击者通过控制hive_cli_params参数可利用该漏洞执行任意命令。
| 漏洞名称 | Apache Airflow Hive Provider <5.0.0 存在命令注入漏洞 |
|---|---|
| 漏洞类型 | 命令注入 |
| 发现时间 | 2022-12-21 |
| 漏洞影响广度 | 小 |
| MPS编号 | MPS-2022-66662 |
| CVE编号 | CVE-2022-46421 |
| CNVD编号 | - |
影响范围
apache-airflow-providers-apache-hive@[0, 5.0.0)
修复方案
将组件 apache-airflow-providers-apache-hive 升级至 5.0.0 及以上版本
参考链接
https://www.oscs1024.com/hd/MPS-2022-66662
Commit
CVE
情报订阅
OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：
https://www.oscs1024.com/cm/?src=osc
具体订阅方式详见：
https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc
Apache Airflow Hive Provider <5.0.0 存在操作系统命令注入漏洞
漏洞描述
Apache Airflow 是一个用于以编程方式创作、安排和监控工作流平台。Apache Airflow Hive Provider 是一个使用 SQL 读取、写入和管理分布式存储中的大型数据集的工具包。
Apache Airflow Hive Provider 在 5.0.0 之前的版本中由于对airflow/providers/apache/hive/hooks/hive.py文件中hive_cli_params参数不正确初始化，导致存在操作系统命令注入漏洞。
未经身份验证的远程攻击者可以将特制数据（run_cli函数的hive_conf参数可控）传递给应用程序，并在目标系统上执行任意操作系统命令。
| 漏洞名称 | Apache Airflow Hive Provider <5.0.0 存在操作系统命令注入漏洞 |
|---|---|
| 漏洞类型 | 命令注入 |
| 发现时间 | 2022-12-21 |
| 漏洞影响广度 | 小 |
| MPS编号 | MPS-2022-66662 |
| CVE编号 | CVE-2022-46421 |
| CNVD编号 | - |
影响范围
apache-airflow-providers-apache-hive@[0, 5.0.0)
修复方案
将组件 apache-airflow-providers-apache-hive 升级至 5.0.0 及以上版本
参考链接
https://www.oscs1024.com/hd/MPS-2022-66662
Commit
CVE
情报订阅
OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：
https://www.oscs1024.com/cm/?src=osc
具体订阅方式详见：
https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc
Apache Airflow Pinot Provider 存在命令注入漏洞
漏洞描述
Airflow 是一个用于以编程方式创作、安排和监控工作流平台。
Apache Airflow Pinot Provider 在 4.0.0 之前的版本中的 PinotAdminHook 类由于对 cmd_path 参数（pinot-admin.sh 可执行文件的文件路径）限制不当从而存在 OS 命令注入漏洞，即使对 DAG 文件没有写权限，攻击者仍可利用此漏洞通过传入恶意 cmd_path 参数在使用位置参数初始化 hook 时执行恶意 OS 命令。补丁版本通过对 pinot-admin.sh 文件硬编码，pinot-admin.sh 命令必须在路径上可用才能使用 PinotAdminHook。此漏洞也会影响安装了 Apache Airflow Pinot Provider 的 2.3.0 之前版本的 Apache Airflow。
| 漏洞名称 | Apache Airflow Pinot Provider 存在命令注入漏洞 |
|---|---|
| 漏洞类型 | 命令注入 |
| 发现时间 | 2022-11-22 |
| 漏洞影响广度 | 小 |
| MPS编号 | MPS-2022-55891 |
| CVE编号 | CVE-2022-38649 |
| CNVD编号 | - |
影响范围
apache-airflow-providers-apache-pinot@(-∞, 4.0.0)
修复方案
将组件 apache-airflow-providers-apache-pinot 升级至 4.0.0 及以上版本
参考链接
https://www.oscs1024.com/hd/MPS-2022-55891
https://nvd.nist.gov/vuln/detail/CVE-2022-38649
https://github.com/apache/airflow/pull/27641
https://github.com/apache/airflow/pull/27641/commits/ec5eb427cc8b5e5320553c2555229d25ba519d49
情报订阅
OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：
https://www.oscs1024.com/cm/?src=osc
具体订阅方式详见：
https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc
关于Node.js 存在操作系统命令注入漏洞和node.js报错的问题我们已经讲解完毕，感谢您的阅读，如果还想了解更多关于Apache Airflow Hive Provider <4.1.0 存在命令注入漏洞、Apache Airflow Hive Provider <5.0.0 存在命令注入漏洞、Apache Airflow Hive Provider <5.0.0 存在操作系统命令注入漏洞、Apache Airflow Pinot Provider 存在命令注入漏洞等相关内容，可以在本站寻找。
本文标签：
