一、 漏洞 CVE-2024-35182 基础信息
漏洞标题
GHSL-2024-014 Meshery SQL注入漏洞
来源：AIGC 神龙大模型
漏洞描述信息
Meshery是一款开源的云原生管理员，用于设计和管理基于Kubernetes的基础设施和应用程序。在Meshery 0.7.22版本之前，存在SQL注入漏洞，攻击者可以通过使用嵌套SQL查询负载和ATTACH DATABASE命令，来实现任意文件写入。此外，攻击者还可以访问并修改数据库中存储的任何数据，如性能配置文件（可能包含会话cookie），Meshery应用程序数据，或系统中添加的任何Kubernetes配置。Meshery项目在API URL `/api/v2/events`上暴露了`GetAllEvents`功能。`events_streamer.go`文件中的排序查询参数直接用于在`events_persister.go`中构建SQL查询。0.7.22版本通过使用`SanitizeOrderInput`函数修复了此问题。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
来源：AIGC 神龙大模型
漏洞类别
SQL命令中使用的特殊元素转义处理不恰当(SQL注入)
来源：AIGC 神龙大模型
漏洞标题
GHSL-2024-014 Meshery SQL Injection vulnerability
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Meshery is an open source, cloud native manager that enables the design and management of Kubernetes-based infrastructure and applications. A SQL injection vulnerability in Meshery prior to version 0.7.22 may lead to arbitrary file write by using a SQL injection stacked queries payload, and the ATTACH DATABASE command. Additionally, attackers may be able to access and modify any data stored in the database, like performance profiles (which may contain session cookies), Meshery application data, or any Kubernetes configuration added to the system. The Meshery project exposes the function `GetAllEvents` at the API URL `/api/v2/events`. The sort query parameter read in `events_streamer.go` is directly used to build a SQL query in `events_persister.go`. Version 0.7.22 fixes this issue by using the `SanitizeOrderInput` function.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
SQL命令中使用的特殊元素转义处理不恰当(SQL注入)
来源：美国国家漏洞数据库 NVD
漏洞标题
Meshery 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Meshery是一个应用软件。一种多服务网格管理平面，提供服务网格及其工作负载的生命周期，配置和性能管理。 Meshery 0.7.22之前版本存在安全漏洞，该漏洞源于存在SQL注入漏洞，攻击者可以通过SQL注入堆叠查询有效载荷和ATTACH DATABASE命令来执行任意文件写入。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-35182 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2024-35182 的情报信息