ATư vấn bảo mậtđã được tạo cho trình điều khiển JDBC soi kèo bóng đá truoctran. Thuộc tính LoggerFile chuỗi kết nối URL có thể được sử dụng sai để tạo một tệp tùy ý trên hệ thống mà trình điều khiển được tải. Ngoài ra, bất cứ điều gì trong chuỗi kết nối sẽ được ghi lại và sau đó được ghi vào tệp đó. Trong một hệ thống không an toàn, có thể thực thi tệp này thông qua máy chủ web.
Mặc dù chúng tôi không coi đây là vấn đề bảo mật với trình điều khiển, chúng tôi đã quyết định xóa các thuộc tính kết nối LoggerFile và LoggerLevel trong bản soi kèo bóng đá truoctran trình điều khiển tiếp theo. Việc loại bỏ các thuộc tính đó không làm cho việc hiển thị URL JDBC hoặc các thuộc tính kết nối cho kẻ tấn công an toàn và chúng tôi tiếp tục đề xuất rằng các ứng dụng không cho phép người dùng không tin cậy chỉ định các thuộc tính kết nối tùy ý.
Chúng tôi đang loại bỏ chúng để ngăn chặn việc sử dụng sai và chức năng của chúng có thể được giao cho java.util.logging. Changelog không hữu ích lắm vì sự thay đổi đã được thực hiện đằng sau một tư vấn bảo mật. Phiên bản ngắn là các thuộc tính LoggerFile và LoggerLevel vẫn tồn tại nhưng không làm gì cả.
Nhóm JDBC soi kèo bóng đá truoctran xin cảm ơn tất cả những gì đã tham gia vào bản phát hành này!
Nhóm soi kèo bóng đá truoctran