【误差通告】H2数据库控制台远程代码执行误差（CVE-2021-42392）
宣布时间 2022-01-100x00 误差概述
2022年1月6日， ，，研究职员果真披露了在 H2 数据库控制台中发明的类似 Log4Shell 的要害 RCE 误差， ，，该误差追踪为CVE-2021-42392。。。。。。。
0x01 误差详情
H2是一个盛行的开源Java SQL数据库， ，，它提供了一个轻量级的内存解决计划， ，，不需要将数据存储在磁盘上， ，，这使得它成为种种项目的盛行数据存储解决计划。。。。。。。
克日， ，，JFrog 清静研究团队披露了H2 数据库控制台中的远程代码执行误差CVE-2021-42392， ，，该误差与Apache Log4j RCE误差CVE-2021-44228误差的基础缘故原由相同， ，，即JNDI 远程类加载。。。。。。。
JNDI是Java Naming and Directory Interface的缩写， ，，是指为Java应用程序提供命名和目录功效的API， ，，它可以连系LDAP使用API来定位可能需要的特定资源。。。。。。。
由于H2数据库框架中的几个代码路径将未经由滤的攻击者控制的URL转达给javax.naming.Context.lookup函数， ，，导致远程代码库加载（也称Java代码注入）， ，，最终造成未经身份验证的远程代码执行。。。。。。。
该误差影响 H2 数据库版本1.1.100（2008-10-14）到2.0.204（2021-12-21）， ，，并已在2022 年 1 月 5 日宣布的版本 2.0.206 中修复。。。。。。。
H2 数据库被许多第三方框架使用， ，，如Spring Boot、Play Framework 和 JHipster等。。。。。。。虽然CVE-2021-42392不像CVE-2021-44228那样普遍， ，，但若是不实时修复， ，，它仍然会对开发职员和生产系统爆发重大影响。。。。。。。
0x02 危害品级
高危。。。。。。。
0x03 影响规模
1.1.100<=H2 Console<=2.0.204
0x04 清静建议
现在此误差已经修复， ，，建议所有 H2 数据库用户升级到版本 2.0.206， ，，纵然不直接使用 H2 控制台。。。。。。。
下载链接：
https://github.com/h2database/h2database/releases/tag/version-2.0.206
缓解步伐
关于现在无法升级H2的用户， ，，可以选择使用以下缓解计划：
1.与CVE-2021-44228误差类似， ，，较新版本的Java包括trustURLCodebase缓解步伐， ，，不允许通过JNDI加载远程代码库。。。。。。。用户可以升级Java（JRE/JDK）版本以启用该缓解步伐， ，，在以下 Java 版本（或更高版本）上默认启用此缓解步伐（但此要领也可能被绕过）：
l 6u211
l 7u201
l 8u191
l 11.0.1
2.当H2 console Servlet安排在 Web 效劳器上时（不使用自力的 H2 Web 效劳器）， ，，可以添加一个清静约束， ，，仅允许特定用户会见控制台页面。。。。。。。
注：H2 Console默认不接受远程毗连。。。。。。。若是明确启用了远程会见并且未设置某些�；；；；ひ欤ㄈ缜寰苍际�， ，，则攻击者可以加载自己的自界说类并在具有H2 Console的历程（ H2 Server process 或具有 H2 Console servlet 的 Web 效劳器）中执行其代码。。。。。。。
也可以通过在这些版本中建设链接表来加载它们， ，，但这需要ADMIN权限， ，，并且具有ADMIN权限的用户在设计上可以完全会见 Java 历程。。。。。。。因此这些权限不应授予不受信任的用户。。。。。。。
0x05 参考链接
https://jfrog.com/blog/the-jndi-strikes-back-unauthenticated-rce-in-h2-database-console/
https://thehackernews.com/2022/01/log4shell-like-critical-rce-flaw.html
http://securityaffairs.co/wordpress/126460/security/unauthenticated-rce-h2-database.html?
0x06 版本信息
版本 | 日期 | 修改内容 |
V1.0 | 2022-01-10 | 首次宣布 |
0x07 附录
凯发k8简介
凯发k8公司建设于1996年， ，，并于2010年6月23日在深交所中小板正式挂牌上市， ，，是海内极具实力的、拥有完全自主知识产权的网络清静产品、可信清静治理平台、清静效劳与解决计划的综合提供商。。。。。。。
公司总部位于北京市中关村软件园， ，，在天下各省、市、自治区设有分支机构， ，，拥有笼罩天下的渠道系统和手艺支持中心， ，，并在北京、上海、成都、广州、长沙、杭州等多地设有研发中心。。。。。。。
多年来， ，，凯发k8致力于提供具有国际竞争力的自主立异的清静产品和最佳实践效劳， ，，资助客户周全提升其IT基础设施的清静性和生产效能， ，，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。。。。。。。
关于凯发k8
凯发k8清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告。。。。。。。
关注以下公众号， ，，获取全球最新清静资讯：
京公网安备11010802024551号