搜索

[6286] 2019-11-16_ApacheFlink未授权上传jar包远程代码执行漏洞预警

文档创建者：s7ckTeam
浏览次数：48
最后更新：2025-01-17
2019-11-16_ApacheFlink未授权上传jar包远程代码执行漏洞预警 A p a c h e   F l i n k 未 授 权 上 传 j a r 包 远 程 代 码 执 行 漏 洞 预 警 E 安 全   2 0 1 9 - 1 1 - 1 6 以 下 文 章 来 源 于 安 恒 信 息 应 急 响 应 中 心   ， 作 者 安 恒 应 急 响 应 中 心 安 恒 信 息 应 急 响 应 中 心 安 恒 信 息 应 急 响 应 中 心   . 安 恒 应 急 响 应 中 心 为 客 户 提 供 最 精 准 预 警 通 告 ， 同 时 提 供 漏 洞 在 客 户 应 用 系 统 危 害 、 影 响 范 围 及 修 补 方 案 等 信 息 。 公 司 产 品 漏 洞 提 交 请 联 系 : 4 0 0   6 0 5 9   1 1 0 ,   或 邮 件 联 系 : s r c @ d b a p p s e c u r i t y . c o m . c n 。 1 .     漏 洞 公 告 漏 洞 公 告 2 0 1 9 年 1 1 月 1 1 日 ， 安 全 研 究 员 H e n r y   C h e n 披 露 了 一 个 A p a c h e   F l i n k 的 未 授 权 上 传 J a r 包 导 致 远 程 代 码 执 行 的 漏 洞 。 经 安 恒 析 安 实 验 室 分 析 和 测 试 后 确 认 该 漏 洞 真 实 存 在 ， 目 前 A p a c h e   F l i n k 官 方 暂 未 发 布 该 漏 洞 的 补 丁 ， 建 议 及 时 关 注 A p a c h e   F l i n k 安 全 公 告 和 采 用 临 时 缓 解 措 施 。 2 .     影 响 范 围 影 响 范 围 测 试 发 现 A p a c h e   F l i n k 目 前 最 新 版 本 1 . 9 . 1 仍 存 在 漏 洞 。 请 关 注 补 丁 版 本 下 载 ： h t t p s : / / f l i n k . a p a c h e . o r g / d o w n l o a d s . h t m l 3 .     漏 洞 详 情 漏 洞 详 情 由 于 A p a c h e   F l i n k   D a s h b o a r d   默 认 无 需 授 权 即 可 访 问 ， 因 此 利 用 该 漏 洞 上 传 一 个 恶 意 j a r 提 交 即 可 获 得 s h e l l 权 限 。 4 .     缓 解 措 施 缓 解 措 施 目 前 安 恒 明 鉴 网 站 安 全 监 测 平 台 、 明 鉴 远 程 安 全 评 估 系 统 的 W e b 扫 描 模 块 、 明 御 A P T 预 警 平 台 均 支 持 该 漏 洞 的 检 测 ， 已 购 买 产 品 的 客 户 可 以 通 过 在 线 升 级 的 方 式 更 新 最 新 漏 洞 策 略 库 进 行 自 查 ， 同 时 建 议 及 时 关 注 官 方 安 全 公 告 和 补 丁 更 新 以 及 启 用 W A F 类 安 全 设 备 拦 截 攻 击 包 。 临 时 缓 解 措 施 ： 针 对 A p a c h e   F l i n k   D a s h b o a r d 设 置 防 火 墙 策 略 ，   仅 允 许 白 名 单 I P 进 行 访 问 ， 并 在 W e b 代 理 中 增 加 对 该 服 务 的 D i g e s t 认 证 ， 防 止 未 授 权 访 问 。 关 于 认 证 设 置 可 参 考 链 接 ： h t t p s : / / h t t p d . a p a c h e . o r g / d o c s / 2 . 4 / m o d / m o d _ a u t h _ d i g e s t . h t m l 威 胁 推 演 ： 漏 洞 为 远 程 代 码 执 行 漏 洞 ， 基 于 全 球 使 用 该 组 件 用 户 的 数 量 ， 恶 意 攻 击 者 可 能 会 开 发 针 对 该 漏 洞 的 自 动 化 攻 击 程 序 ，
实 现 漏 洞 利 用 成 功 后 植 入 后 门 程 序 ， 并 进 一 步 释 放 矿 工 程 序 或 是 D D O S 僵 尸 木 马 等 恶 意 程 序 ， 从 而 影 响 到 设 备 的 正 常 运 行 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理