【20220319】H2 CVE-2021-23463 JDBC-XXE漏洞分析

【漏洞分析】

1. The package com.h2database:h2 from 0 and before 2.0.202 are vulnerable to XML External Entity (XXE) Injection via the org.h2.jdbc.JdbcSQLXML class object, when it receives parsed string data from org.h2.jdbc.JdbcResultSet.getSQLXML() method. If it executes the getSource() method when the parameter is DOMSource.class it will trigger the vulnerability.
2. 关键Sink点在上面标黄了。它和Mysql的那个SQLXML一样的。

【补丁地址】

• https://github.com/h2database/h2database/commit/d83285fd2e48fb075780ee95badee6f5a15ea7f8

【拓展思考】

• 有哪些其他JDBC的知名库，可能存在类似问题？
  • 譬如：mysql库、pg库、h2库、图计算库、odps 库…
  • 理论上从前研发各种相互抄袭功能的情况，在开源领域也存在。