【误差通告】H2数据库控制台远程代码执行误差（CVE-2021-42392）

宣布时间 2022-01-10


0x00 误差概述

2022年1月6日，，， ，，，研究职员果真披露了在 H2 数据库控制台中发明的类似 Log4Shell 的要害 RCE 误差，，， ，，，该误差追踪为CVE-2021-42392。。。。。

 

0x01 误差详情

image.png

H2是一个盛行的开源Java SQL数据库，，， ，，，它提供了一个轻量级的内存解决计划，，， ，，，不需要将数据存储在磁盘上，，， ，，，这使得它成为种种项目的盛行数据存储解决计划。。。。。

克日，，， ，，，JFrog 清静研究团队披露了H2 数据库控制台中的远程代码执行误差CVE-2021-42392，，， ，，，该误差与Apache Log4j RCE误差CVE-2021-44228误差的基础缘故原由相同，，， ，，，即JNDI 远程类加载。。。。。

JNDI是Java Naming and Directory Interface的缩写，，， ，，，是指为Java应用程序提供命名和目录功效的API，，， ，，，它可以连系LDAP使用API来定位可能需要的特定资源。。。。。

由于H2数据库框架中的几个代码路径将未经由滤的攻击者控制的URL转达给javax.naming.Context.lookup函数，，， ，，，导致远程代码库加载（也称Java代码注入），，， ，，，最终造成未经身份验证的远程代码执行。。。。。

该误差影响 H2 数据库版本1.1.100（2008-10-14）到2.0.204（2021-12-21），，， ，，，并已在2022 年 1 月 5 日宣布的版本 2.0.206 中修复。。。。。

H2 数据库被许多第三方框架使用，，， ，，，如Spring Boot、Play Framework 和 JHipster等。。。。。虽然CVE-2021-42392不像CVE-2021-44228那样普遍，，， ，，，但若是不实时修复，，， ，，，它仍然会对开发职员和生产系统爆发重大影响。。。。。

 

0x02 危害品级

高危。。。。。

 

0x03 影响规模

1.1.100<=H2 Console<=2.0.204

 

0x04 清静建议

现在此误差已经修复，，， ，，，建议所有 H2 数据库用户升级到版本 2.0.206，，， ，，，纵然不直接使用 H2 控制台。。。。。

下载链接：

https://github.com/h2database/h2database/releases/tag/version-2.0.206


缓解步伐

关于现在无法升级H2的用户，，， ，，，可以选择使用以下缓解计划：

1.与CVE-2021-44228误差类似，，， ，，，较新版本的Java包括trustURLCodebase缓解步伐，，， ，，，不允许通过JNDI加载远程代码库。。。。。用户可以升级Java（JRE/JDK）版本以启用该缓解步伐，，， ，，，在以下 Java 版本（或更高版本）上默认启用此缓解步伐（但此要领也可能被绕过）：

l  6u211

l  7u201

l  8u191

l  11.0.1

2.当H2 console Servlet安排在 Web 效劳器上时（不使用自力的 H2 Web 效劳器），，， ，，，可以添加一个清静约束，，， ，，，仅允许特定用户会见控制台页面。。。。。

注：H2 Console默认不接受远程毗连。。。。。若是明确启用了远程会见并且未设置某些保唬唬护要领（如清静约束），，， ，，，则攻击者可以加载自己的自界说类并在具有H2 Console的历程（ H2 Server process 或具有 H2 Console servlet 的 Web 效劳器）中执行其代码。。。。。

也可以通过在这些版本中建设链接表来加载它们，，， ，，，但这需要ADMIN权限，，， ，，，并且具有ADMIN权限的用户在设计上可以完全会见 Java 历程。。。。。因此这些权限不应授予不受信任的用户。。。。。

 

0x05 参考链接

https://jfrog.com/blog/the-jndi-strikes-back-unauthenticated-rce-in-h2-database-console/

https://thehackernews.com/2022/01/log4shell-like-critical-rce-flaw.html

http://securityaffairs.co/wordpress/126460/security/unauthenticated-rce-h2-database.html?

 

0x06 版本信息

版本

日期

修改内容

V1.0

2022-01-10

首次宣布

 

0x07 附录

Z6尊龙凯时简介

Z6尊龙凯时公司建设于1996年，，， ，，，并于2010年6月23日在深交所中小板正式挂牌上市，，， ，，，是海内极具实力的、拥有完全自主知识产权的网络清静产品、可信清静治理平台、清静效劳与解决计划的综合提供商。。。。。

公司总部位于北京市中关村软件园，，， ，，，在天下各省、市、自治区设有分支机构，，， ，，，拥有笼罩天下的渠道系统和手艺支持中心，，， ，，，并在北京、上海、成都、广州、长沙、杭州等多地设有研发中心。。。。。

多年来，，， ，，，Z6尊龙凯时致力于提供具有国际竞争力的自主立异的清静产品和最佳实践效劳，，， ，，，资助客户周全提升其IT基础设施的清静性和生产效能，，， ，，，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。。。。。

 

关于Z6尊龙凯时

Z6尊龙凯时清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告。。。。。

关注以下公众号，，， ，，，获取全球最新清静资讯：

image.png