Apache InLong updateAuditSource方法命令注入漏洞 (CVE-2023-51784)

漏洞类型 代码注入 发现时间 2024-01-03 漏洞等级 高危
MPS编号 MPS-81gu-tekl CVE编号 CVE-2023-51784 漏洞影响广度

漏洞危害

OSCS 描述
Apache InLong 是开源的数据集成框架,Audit source 是对 Agent、DataProxy、Sort 模块的入流量、出流量进行实时审计,并将审计数据写到 MySQL、Elasticsearch、ClickHouse中的一个子系统。
Apache InLong 1.5.0至1.9.0版本中,由于 updateAuditSource 方法未对用户可控的参数有效过滤,攻击者可在更新 Audit source 时传入恶意的 Audit source URL 导致远程执行任意代码。
参考链接:https://www.oscs1024.com/hd/MPS-81gu-tekl

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.apache.inlong:manager-web [1.5.0, 1.10.0) 升级 将 org.apache.inlong:manager-web 升级至 1.10.0 及以上版本
org.apache.inlong:manager-pojo [1.5.0, 1.10.0) 升级 将组件 org.apache.inlong:manager-pojo 升级至 1.10.0 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-81gu-tekl

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-81gu-tekl

https://nvd.nist.gov/vuln/detail/CVE-2023-51784

https://github.com/apache/inlong/issues/9328

https://github.com/apache/inlong/commit/1edaf8bb1113cfb90cd451a0830caa15d9ff08b9

(0)
上一篇 2024年1月3日 下午4:00
下一篇 2024年1月4日 下午12:00

相关推荐

  • ZooKeeper SASL 身份验证绕过漏洞 (CVE-2023-44981)

    漏洞类型 通过用户控制密钥绕过授权机制 发现时间 2023-10-11 漏洞等级 高危 MPS编号 MPS-bznr-672x CVE编号 CVE-2023-44981 漏洞影响广度 一般 漏洞危害 OSCS 描述 ZooKeeper 是开源的分布式应用程序协调服务,数据树是指Apache ZooKeeper中存储数据的层次结构,SASL是一种用于进行身份验…

    2023年10月12日
    0
  • Google Chrome<120.0.6099.199 存在释放后使用漏洞 (CVE-2024-0222)

    漏洞类型 UAF 发现时间 2024-01-04 漏洞等级 高危 MPS编号 MPS-ler0-8tok CVE编号 CVE-2024-0222 漏洞影响广度 广 漏洞危害 OSCS 描述 Google Chrome 是 Google 公司开发的网页浏览器。ANGLE 是 Google Chrome 中用于提供图形API的库,包括 OpenGL ES 和 V…

    2024年1月5日
    0
  • TeamCity<2023.11.4 身份验证绕过漏洞【POC公开】 (CVE-2024-27198)

    漏洞类型 使用候选路径或通道进行的认证绕过 发现时间 2024-03-05 漏洞等级 严重 MPS编号 MPS-lqdy-036z CVE编号 CVE-2024-27198 漏洞影响广度 广 漏洞危害 OSCS 描述 TeamCity 是 JetBrains 公司开发的一款 CI/CD 工具。 JetBrains TeamCity在2023.11.4版本之前…

    2024年3月6日
    0
  • Frigate config 端点存在反序列化漏洞 (CVE-2023-45672)

    漏洞类型 反序列化 发现时间 2023-10-31 漏洞等级 高危 MPS编号 MPS-2lgp-otxu CVE编号 CVE-2023-45672 漏洞影响广度 一般 漏洞危害 OSCS 描述 Frigate 是一个基于实时AI目标检测的开源NVR。 v0.13.0 Beta 3 之前版本中,由于 builtin.py#load_config_with_n…

    2023年10月31日
    0
  • minizip-ng<4.0.3 存在堆缓冲区溢出漏洞 (CVE-2023-48106)

    漏洞类型 堆缓冲区溢出 发现时间 2023-11-23 漏洞等级 高危 MPS编号 MPS-7wpn-d9ve CVE编号 CVE-2023-48106 漏洞影响广度 小 漏洞危害 OSCS 描述 minizip-ng 是一个开源的压缩库,用于创建和解压ZIP格式文件。 minizip-ng 4.0.3之前版本中的 mz_os.c#mz_path_resol…

    2023年11月23日
    0