Apache InLong updateAuditSource方法命令注入漏洞 (CVE-2023-51784)

漏洞类型 代码注入 发现时间 2024-01-03 漏洞等级 高危
MPS编号 MPS-81gu-tekl CVE编号 CVE-2023-51784 漏洞影响广度

漏洞危害

OSCS 描述
Apache InLong 是开源的数据集成框架,Audit source 是对 Agent、DataProxy、Sort 模块的入流量、出流量进行实时审计,并将审计数据写到 MySQL、Elasticsearch、ClickHouse中的一个子系统。
Apache InLong 1.5.0至1.9.0版本中,由于 updateAuditSource 方法未对用户可控的参数有效过滤,攻击者可在更新 Audit source 时传入恶意的 Audit source URL 导致远程执行任意代码。
参考链接:https://www.oscs1024.com/hd/MPS-81gu-tekl

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.apache.inlong:manager-web [1.5.0, 1.10.0) 升级 将 org.apache.inlong:manager-web 升级至 1.10.0 及以上版本
org.apache.inlong:manager-pojo [1.5.0, 1.10.0) 升级 将组件 org.apache.inlong:manager-pojo 升级至 1.10.0 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-81gu-tekl

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-81gu-tekl

https://nvd.nist.gov/vuln/detail/CVE-2023-51784

https://github.com/apache/inlong/issues/9328

https://github.com/apache/inlong/commit/1edaf8bb1113cfb90cd451a0830caa15d9ff08b9

(0)
上一篇 2024年1月3日 下午4:00
下一篇 2024年1月4日 下午12:00

相关推荐

  • Kibana <7.17.15,<8.11.1 日志文件泄漏敏感信息 (CVE-2023-46671)

    漏洞类型 日志敏感信息泄露 发现时间 2023-11-15 漏洞等级 严重 MPS编号 MPS-q2z6-3vtp CVE编号 CVE-2023-46671 漏洞影响广度 一般 漏洞危害 OSCS 描述 Kibana 是一个用于 Elasticsearch 的开源数据可视化工具,旨在帮助用户分析和展示其存储在 Elasticsearch 中的数据。 Kiba…

    2023年11月16日
    0
  • Laravel框架limit和offset处存在SQL注入 (MPS-19wf-rmek)

    漏洞类型 SQL注入 发现时间 2024-05-16 漏洞等级 严重 MPS编号 MPS-19wf-rmek CVE编号 – 漏洞影响广度 漏洞危害 OSCS 描述 Laravel是Laravel社区的一个Web 应用程序框架。 同时使用SQL Server数据库和Laravel框架,并且Web应用允许用户输入参数直接传递参数到limit和off…

    漏洞 2024年5月16日
    0
  • Uptime Kuma<1.23.3 存在持久用户会话漏洞 (CVE-2023-44400)

    漏洞类型 会话固定 发现时间 2023-10-10 漏洞等级 中危 MPS编号 MPS-p4yv-trm8 CVE编号 CVE-2023-44400 漏洞影响广度 广 漏洞危害 OSCS 描述 Uptime Kuma 是开源的自托管的监控工具。 1.23.3 之前版本中由于未对用户cookie有效清理并且未有效设置过期时间,当用户注销或修改密码后cookie…

    2023年10月10日
    0
  • Apache Submarine SQL 注入漏洞 (CVE-2023-37924)

    漏洞类型 SQL注入 发现时间 2023-11-22 漏洞等级 严重 MPS编号 MPS-ajf4-uzhd CVE编号 CVE-2023-37924 漏洞影响广度 小 漏洞危害 OSCS 描述 Apache Submarine是一个端到端的机器学习平台,允许数据科学家创建完整的机器学习工作流程,涵盖数据探索、数据管道创建、模型训练、服务以及监控的每个阶段。…

    2023年11月23日
    0
  • curl 8.5.0 OCSP 验证绕过 (CVE-2024-0853)

    漏洞类型 证书撤销验证不恰当 发现时间 2024-01-31 漏洞等级 低危 MPS编号 MPS-phcs-y3ga CVE编号 CVE-2024-0853 漏洞影响广度 广 漏洞危害 OSCS 描述 curl 是用于在各种网络协议之间传输数据的命令行工具。 该漏洞导致即使在线证书状态协议(OCSP stapling)测试失败,curl也会在其缓存中保留SS…

    2024年1月31日
    0