MyCATApache / Mycat-Server

GNU General Public License v2.0
9.5k stars 3.85k forks source link

同学,您这个项目引入了49个开源组件,存在14个漏洞,辛苦升级一下 #2899

Open ghost opened 2 years ago

ghost commented 2 years ago

检测到 MyCATApache/Mycat-Server 一共引入了49个开源组件,存在14个漏洞

漏洞标题:Netty 安全漏洞
缺陷组件:io.netty:netty-common@4.1.9.Final
漏洞编号:CVE-2021-21290
漏洞描述:Netty是Netty社区的一款非阻塞I/O客户端-服务器框架,它主要用于开发Java网络应用程序,如协议服务器和客户端等。
Netty 4.1.59之前版本存在安全漏洞,该漏洞源于当netty的多部分解码器被使用时,如果磁盘上的临时存储被启用,则本地信息可以通过本地系统临时目录进行公开。在类unix系统中,所有用户共享临时目录。因此,使用没有显式设置文件/目录权限的api写入该目录可能导致信息泄露。值得注意的是,这并不影响现代的MacOS操作系统。法”文件。createTempFile\"在类unix系统上创建一个随机文件,但默认情况下将创建这个文件,权限为\"-rw-r——r——\"。因此,如果将敏感信息写入该文件,其他本地用户就可以读取该信息。
影响范围:[4.0.0.Final, 4.1.59.Final)
最小修复版本:4.1.59.Final
缺陷组件引入路径:io.mycat:Mycat-server@1.6.7.6-release->io.netty:netty-buffer@4.1.9.Final->io.netty:netty-common@4.1.9.Final

另外还有14个漏洞,详细报告:https://mofeisec.com/jr?p=acb5b5

kwaicssec commented 2 years ago

@MyCATApache,同学,您好,上面的漏洞报告是我IDE运行时,安全插件提示您这个项目存在的几个漏洞的报告,辛苦您修复一下哈,担心其他人也会用到你这个项目,从而引入这些漏洞。:)