一、 漏洞 CVE-2024-38363 基础信息
漏洞标题
通过服务器端模板注入（SSTI）的远程代码执行（RCE）在Airbyte中
来源：AIGC 神龙大模型
漏洞描述信息
Airbyte是一款用于ELT管道的数据集成平台。Airbyte连接构建器Docker镜像是通过SSTI（Server-Side Template Injection）受到RCE（Remote Code Execution）漏洞的影响，允许已认证的远程攻击者在Web服务器用户权限下在服务器上执行任意代码。连接构建器用于创建和测试新的连接器。如果用户在被攻击的实例上测试了一个新的连接器，敏感信息，如凭据，可能会被暴露出来。然而，连接构建器本身没有访问任何数据流程。此漏洞已在0.62.2版本中被修复。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
来源：AIGC 神龙大模型
漏洞类别
对生成代码的控制不恰当(代码注入)
来源：AIGC 神龙大模型
漏洞标题
Remote Code Execution (RCE) via Server Side Template Injection (SSTI) in Airbyte
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Airbyte is a data integration platform for ELT pipelines. Airbyte connection builder docker image is vulnerable to RCE via SSTI which allows an authenticated remote attacker to execute arbitrary code on the server as the web server user. The connection builder is used to create and test new connectors. Sensitive information, such as credentials, could be exposed if a user tested a new connector on a compromised instance. The connection builder does not have access to any data processes. This vulnerability is fixed in 0.62.2.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
漏洞标题
Airbyte 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Airbyte是Airbyte开源的一个 ETL/ELT 数据管道数据集成平台。 Airbyte v0.62.2之前版本存在安全漏洞，该漏洞源于存在远程代码执行漏洞，允许经过身份验证的远程攻击者以Web服务器用户的身份在服务器上执行任意代码。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-38363 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2024-38363 的情报信息