【误差通告】Dataease JNDI注入误差(CVE-2025-57773)

宣布时间 2025-08-26

一、误差概述


误差名称

DataEase JNDI注入误差

CVE   ID

CVE-2025-57773

误差类型

RCE

发明时间

2025-08-26

误差评分

8.2

误差品级

高危

攻击向量

网络

所需权限

无

使用难度

低

用户交互

不需要

PoC/EXP

已果真

在野使用

未发明


DataEase是一款开源的数据可视化与剖析平台，，，，，，支持多种数据源接入，，，，，，提供报表、看板、可视化大屏等功效，，，，，，资助用户实现数据盘问、剖析与展示。。。。。。。它支持JDBC、API等多种数据毗连方法，，，，，，适用于BI报表、数据剖析及可视化场景。。。。。。。


2025年8月26日，，，，，，百乐博集团VSRC监测到DataEase Desktop保存DataEase JNDI注入误差(CVE-2025-57773)。。。。。。。由于DB2数据源参数缺乏有用校验，，，，，，攻击者可通过结构恶意JDBC URL（如jdbc:db2://…;clientRerouteServerListJNDIName=rmi://<恶意效劳器>），，，，，，触发JNDI远程加载，，，，，，并连系commons-collections 4.x与aspectjweaver(<1.9.4)的Gadget链实现反序列化攻击，，，，，，从而抵达恣意文件写入或远程代码执行的目的，，，，，，最终可能完全控制效劳器，，，，，，同时Dataease Desktop还保存Dataease JDBC逻辑绕过误差(CVE-2025-57772)，，，，，，由于CalciteProvider#getConnection要领中保存JDBC类型校验缺陷，，，，，，攻击者可通过伪造数据库类型为oracle，，，，，，绕过H2驱动相关过滤逻辑，，，，，，强制程序加载恶意结构的H2 JDBC URL。。。。。。。该URL可直接包括危险参数（如INIT=RUNSCRIPT FROM），，，，，，实现远程加载并执行恶意SQL剧本，，，，，，导致敏感数据泄露、系统被控制及进一步横向渗透。。。。。。。


二、影响规模


DataEase Desktop ≤ v2.10.11。。。。。。。


三、清静步伐


3.1 升级版本


官方已宣布清静补�。。。。。。。�，，，，升级至如下版本。。。。。。。

DataEase Desktop ≥v2.10.12。。。。。。。


3.2 暂时步伐


若是暂时无法升级主程序，，，，，，可通过将AspectJWeaver升级至≥1.9.4来降低CVE-2025-57773的可使用性，，，，，，同时建议将commons-collections升级至≥4.4以镌汰潜在危害。。。。。。。


3.3 通用建议


? 按期更新系统补�。。。。。。。�，，，，镌汰系统误差，，，，，，提升效劳器的清静性。。。。。。。

? 增强系统和网络的会见控制，，，，，，修改防火墙战略，，，，，，关闭非须要的应用端口或效劳，，，，，，镌汰将危险效劳（如SSH、RDP等）袒露到公网，，，，，，镌汰攻击面。。。。。。。

? 使用企业级清静产品，，，，，，提升企业的网络清静性能。。。。。。。

? 增强系统用户和权限治理，，，，，，启用多因素认证机制和最小权限原则，，，，，，用户和软件权限应坚持在最低限度。。。。。。。

? 启用强密码战略并设置为按期修改。。。。。。。


3.4 参考链接


https://nvd.nist.gov/vuln/detail/CVE-2025-57773/

https://github.com/dataease/dataease/security/advisories/GHSA-v37q-vh67-9rqv

https://github.com/dataease/dataease/security/advisories/GHSA-7r8j-6whv-4j5p/