远程 Debian 9 主机上安装的多个程序包受到 dla-2923 公告中提及的多个漏洞影响。

  - H2 数据库的 org.h2.util.JdbcUtils.getConnection 方法将驱动程序的类名称和数据库的 URL 用作参数。攻击者可能会通过传递 JNDI 驱动程序名称和指向 LDAP 或 RMI 服务器的 URL，造成远程代码执行错误。此漏洞可以通过各种攻击载体加以利用，尤其是通过 H2 控制台造成未经身份验证的远程代码执行错误。(CVE-2021-42392)

  - 2.1.210 之前版本的 H2 Console 允许远程攻击者通过 jdbc: h2: mem JDBC URL（包含 IGNORE_UNKNOWN_SETTINGS=TRUE;FORBID_CREATION=FALSE;INIT=RUNSCRIPT 子字符串）执行任意代码，但此漏洞与 CVE-2021-42392 不同。(CVE-2022-23221)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号。

检测

Debian DLA-2923-1：h2database - LTS 安全更新

critical Nessus 插件 ID 158067

未找到变更日志