CVE-2022-41828

[CVE-2022-41828] Driver JDBC do Amazon AWS Redshift — Execução Remota de Código (RCE)

---

O Driver JDBC da Amazon para Redshift é um driver JDBC Tipo 4 que fornece conectividade de banco de dados por meio das interfaces padrão de programação de aplicativos (APIs) JDBC disponíveis nas Edições Enterprise da Plataforma Java. O Driver fornece acesso ao Redshift a partir de qualquer aplicativo Java, servidor de aplicativos ou applet habilitado para Java.

Existe um problema potencial de execução remota de comandos nas versões 2.1.0.7 e anteriores do redshift-jdbc42. Quando plugins são usados com o driver, ele instancia instâncias de plugins com base em nomes de classes Java fornecidos por meio das propriedades de conexão sslhostnameverifier, socketFactory, sslfactory e sslpasswordcallback. Nas versões afetadas, o driver não verifica se uma classe de plugin implementa a interface esperada antes da instanciação. Isso pode levar ao carregamento de classes Java arbitrárias, que um atacante experiente com controle sobre a URL JDBC pode usar para obter execução remota de código.

Correções

Este problema está corrigido no redshift-jdbc-42 versão 2.1.0.8 e posteriores.

Soluções alternativas

A AWS aconselha os clientes que usam plugins a atualizarem para a versão 2.1.0.8 ou superior do redshift-jdbc42. Não há soluções alternativas conhecidas para este problema.

Análise do patch: issue no GitHub e commits relacionados

Para corrigir este problema, foram feitas modificações em 4 classes Java diferentes no commit aws/amazon-redshift-jdbc-driver@9999659. Essas classes são as seguintes, respectivamente.

• src/main/java/com/amazon/redshift/core/SocketFactoryFactory.java

@@ -38,7 +38,7 @@ public static SocketFactory getSocketFactory(Properties info) throws RedshiftExc
      return SocketFactory.getDefault();
    }
    try {
      //removed return (SocketFactory) ObjectFactory.instantiate(socketFactoryClassName, info, true, RedshiftProperty.SOCKET_FACTORY_ARG.get(info));
      return ObjectFactory.instantiate(SocketFactory.class, socketFactoryClassName, info, true, RedshiftProperty.SOCKET_FACTORY_ARG.get(info)); //added
    } catch (Exception e) {
      throw new RedshiftException(
@@ -66,7 +66,7 @@ public static SSLSocketFactory getSslSocketFactory(Properties info) throws Redsh
      if (classname.equals(RedshiftConnectionImpl.NON_VALIDATING_SSL_FACTORY))
      		classname = NonValidatingFactory.class.getName();

      //removed return (SSLSocketFactory) ObjectFactory.instantiate(classname, info, true, RedshiftProperty.SSL_FACTORY_ARG.get(info));
      return  ObjectFactory.instantiate(SSLSocketFactory.class, classname, info, true, RedshiftProperty.SSL_FACTORY_ARG.get(info)); //added
    } catch (Exception e) {
      throw new RedshiftException(

• src/main/java/com/amazon/redshift/ssl/LibPQFactory.java

@@ -61,7 +61,7 @@ private CallbackHandler getCallbackHandler(Properties info) throws RedshiftExcep
    String sslpasswordcallback = RedshiftProperty.SSL_PASSWORD_CALLBACK.get(info);
    if (sslpasswordcallback != null) {
      try {
        //removed cbh = (CallbackHandler) ObjectFactory.instantiate(sslpasswordcallback, info, false, null);
        cbh =  ObjectFactory.instantiate(CallbackHandler.class, sslpasswordcallback, info, false, null); //added
      } catch (Exception e) {
        throw new RedshiftException(
          GT.tr("The password callback class provided {0} could not be instantiated.",

• src/main/java/com/amazon/redshift/ssl/MakeSSL.java

@@ -59,7 +59,7 @@ private static void verifyPeerName(RedshiftStream stream, Properties info, SSLSo
      sslhostnameverifier = "RedshiftjdbcHostnameVerifier";
    } else {
      try {
        //removed hvn = (HostnameVerifier) instantiate(sslhostnameverifier, info, false, null);
        hvn = instantiate(HostnameVerifier.class, sslhostnameverifier, info, false, null); //added
      } catch (Exception e) {
        throw new RedshiftException(
            GT.tr("The HostnameVerifier class provided {0} could not be instantiated.",

• src/main/java/com/amazon/redshift/util/ObjectFactory.java

@@ -34,13 +34,13 @@ public class ObjectFactory {
   * @throws IllegalAccessException if something goes wrong
   * @throws InvocationTargetException if something goes wrong
   */
  //removed public static Object instantiate(String classname, Properties info, boolean tryString,
  public static <T> T instantiate(Class<T> expectedClass, String classname, Properties info, boolean tryString, //added
      String stringarg) throws ClassNotFoundException, SecurityException, NoSuchMethodException,
          IllegalArgumentException, InstantiationException, IllegalAccessException,
          InvocationTargetException {
    Object[] args = {info};
    Constructor<?> ctor = null; //removed
    Class<?> cls = Class.forName(classname); //removed
    Constructor<? extends T> ctor = null; //added
    Class<? extends T> cls = Class.forName(classname).asSubclass(expectedClass); //added    
    try {
      ctor = cls.getConstructor(Properties.class);
    } catch (NoSuchMethodException nsme) {

Reprodução: Desenvolvendo um aplicativo vulnerável e etapas de exploração

Para reproduzir o CVE-2022-41828, é desenvolvido um aplicativo Java vulnerável com o framework Spring que usa o driver vulnerável redshift-jdbc42 versão 2.1.0.7 como biblioteca externa.