远程 Debian 10 主机上安装的多个程序包受到 dla-3234 公告中提及的一个漏洞影响。

  - 在 hsqldb (HyperSQL DataBase) 中使用 java.sql.Statement 或 java.sql.PreparedStatement 处理不受信任的输入的程序包可能容易受到远程代码执行攻击。默认情况下，其允许调用类路径中任何 Java 类的任何静态方法，从而导致代码执行攻击。要预防此问题，可更新到 2.7.1 版，或将系统属性 hsqldb.method_class_names 设置为允许调用的类。例如，可使用 System.setProperty(hsqldb.method_class_names, abc) 或 Java argument
    -Dhsqldb.method_class_names=abc。从 2.7.1 版开始，在默认情况下，除 java.lang.Math 中的类外，其他所有类均不可访问，并且需要手动启用。(CVE-2022-41853)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DLA-3234-1：hsqldb - LTS 安全更新

critical Nessus 插件 ID 168624

版本 1.2