Apache InLong updateAuditSource方法命令注入漏洞 (CVE-2023-51784)

漏洞类型 代码注入 发现时间 2024-01-03 漏洞等级 高危
MPS编号 MPS-81gu-tekl CVE编号 CVE-2023-51784 漏洞影响广度

漏洞危害

OSCS 描述
Apache InLong 是开源的数据集成框架,Audit source 是对 Agent、DataProxy、Sort 模块的入流量、出流量进行实时审计,并将审计数据写到 MySQL、Elasticsearch、ClickHouse中的一个子系统。
Apache InLong 1.5.0至1.9.0版本中,由于 updateAuditSource 方法未对用户可控的参数有效过滤,攻击者可在更新 Audit source 时传入恶意的 Audit source URL 导致远程执行任意代码。
参考链接:https://www.oscs1024.com/hd/MPS-81gu-tekl

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.apache.inlong:manager-web [1.5.0, 1.10.0) 升级 将 org.apache.inlong:manager-web 升级至 1.10.0 及以上版本
org.apache.inlong:manager-pojo [1.5.0, 1.10.0) 升级 将组件 org.apache.inlong:manager-pojo 升级至 1.10.0 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-81gu-tekl

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-81gu-tekl

https://nvd.nist.gov/vuln/detail/CVE-2023-51784

https://github.com/apache/inlong/issues/9328

https://github.com/apache/inlong/commit/1edaf8bb1113cfb90cd451a0830caa15d9ff08b9

(0)
上一篇 2024年1月3日 下午4:00
下一篇 2024年1月4日 下午12:00

相关推荐

  • Apache Tomcat FORM 重定向漏洞 (CVE-2023-41080)

    漏洞类型 跨站重定向 发现时间 2023-08-26 漏洞等级 低危 MPS编号 MPS-uy56-j8e4 CVE编号 CVE-2023-41080 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Tomcat 是一款开源的 Web 应用服务器 在受影响版本中,由于在FORM身份验证中没有对认证后重定向的页面做验证,攻击者可以构造恶意的URL,使…

    2023年9月4日
    0
  • Deno socket 会话数据污染漏洞 (CVE-2024-27935)

    漏洞类型 对错误会话暴露数据元素 发现时间 2024-03-21 漏洞等级 高危 MPS编号 MPS-4dbm-51vn CVE编号 CVE-2024-27935 漏洞影响广度 一般 漏洞危害 OSCS 描述 Deno 是开源的一个简单、现代且安全的 JavaScript 和 TypeScript 运行环境。 在 Deno 的 Node.js 兼容运行环境中…

    2024年3月25日
    0
  • Apache Airflow 存在Kubernetes配置文件泄露风险 (CVE-2023-51702)

    漏洞类型 日志敏感信息泄露 发现时间 2024-01-24 漏洞等级 中危 MPS编号 MPS-9l6b-gqsm CVE编号 CVE-2023-51702 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Airflow 是一个开源的工作流自动化平台,Apache Airflow CNCF Kubernetes provider 是给 Airflo…

    2024年1月25日
    0
  • Apache IoTDB Sync Tool反序列化漏洞 (CVE-2023-51656)

    漏洞类型 反序列化 发现时间 2023-12-21 漏洞等级 中危 MPS编号 MPS-b5gs-81ux CVE编号 CVE-2023-51656 漏洞影响广度 漏洞危害 OSCS 描述 Apache IoTDB是时序数据的数据管理系统,为用户提供数据采集、存储、分析等特定服务。 在 FileLoaderManager.java 文件的 deSeriali…

    2023年12月22日
    0
  • Apache inlong JDBC URL反序列化漏洞(\t绕过) (CVE-2023-46227)

    漏洞类型 输入验证不恰当 发现时间 2023-10-19 漏洞等级 高危 MPS编号 MPS-xsb3-r8jf CVE编号 CVE-2023-46227 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache InLong 是开源的高性能数据集成框架,方便业务构建基于流式的数据分析、建模和应用。 受影响版本中,由于只对用户输入的 jdbc url 参数…

    2023年10月20日
    0