CVE-2022-23221
Vulnérabilité critique
CVSS 9.8 · Critique
EPSS 64.8%
Description
H2 Console before 2.1.210 allows remote attackers to execute arbitrary code via a jdbc:h2:mem JDBC URL containing the IGNORE_UNKNOWN_SETTINGS=TRUE;FORBID_CREATION=FALSE;INIT=RUNSCRIPT substring, a different vulnerability than CVE-2021-42392.
Gravité et risque d'exploitation
CVE-2022-23221 obtient un score CVSS de 9.8/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 64.77 %, ce qui la place devant 99.2 % des CVE référencées.
Que faire ?
- Vérifiez si le produit concerné est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/h2database/h2database/security/advisories
- http://seclists.org/fulldisclosure/2022/Jan/39
- https://lists.debian.org/debian-lts-announce/2022/02/msg00017.html
- https://www.debian.org/security/2022/dsa-5076
- https://www.oracle.com/security-alerts/cpuapr2022.html
- https://github.com/h2database/h2database/releases/tag/version-2.1.210
- https://twitter.com/d0nkey_man/status/1483824727936450564
- http://packetstormsecurity.com/files/165676/H2-Database-Console-Remote-Code-Execution.html
- https://www.oracle.com/security-alerts/cpujul2022.html
- https://security.netapp.com/advisory/ntap-20230818-0011/