Apache ShardingSphere身份认证绕过漏洞 (CVE-2022-45347) 安全通告

Apache ShardingSphere是关系型数据库中间件，可将任何数据库转换为分布式数据库系统，并通过分片、弹性扩展、加密功能等对其进行增强，旨在充分合理地在分布式的场景下利用关系型数据库的计算和存储能力，而并非实现一个全新的关系型数据库，它与NoSQL和NewSQL是并存而非互斥的关系。

(资料图片仅供参考)

近日，奇安信CERT监测到官方发布了Apache ShardingSphere身份认证绕过漏洞(CVE-2022-45347)，Apache ShardingSphere-Proxy在使用MySQL作为后端数据库时，在客户端认证失败后并没有完全清理数据库会话，这使得攻击者可以通过构造一个特殊的MySQL客户端来绕过身份认证并执行命令。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

威胁评估

处置建议

目前Apache ShardingSphere官方已发布安全版本修复该漏洞，建议受影响用户尽快更新至对应的安全版本。

https://github.com/apache/shardingsphere/releases

参考资料

[1]https://lists.apache.org/thread/l5rz7j4rg10o7ywtgknh2f5hxnv6yw3l

[2]https://shardingsphere.apache.org/

[3]https://github.com/apache/shardingsphere/releases

标签： 执行命令 影响范围 公开时间