Apache bRPC 存在http请求走私风险 (CVE-2024-23452)

漏洞类型 HTTP请求走私 发现时间 2024-02-08 漏洞等级 中危
MPS编号 MPS-2glc-5ao0 CVE编号 CVE-2024-23452 漏洞影响广度 一般

漏洞危害

OSCS 描述
Apache bRPC 是百度开源的工业级 RPC 框架,常用于搜索、存储、机器学习等高性能系统。
Apache bRPC 0.9.5至1.7.0版本中由于使用 http_parser 库不符合RFC-7230 HTTP 1.1 规范,当 bRPC 后端的 http 服务器通过持久话连接接收特定前端服务器的请求(需要前端服务器使用 TE 解析http请求),攻击者可发送包含恶意 Transfer-Encoding 和 Content-Length 标头的 http 请求进行请求走私,从而窃取用户凭据等敏感信息。
参考链接:https://www.oscs1024.com/hd/MPS-2glc-5ao0

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
brpc [0.9.5, 1.8.0) 升级 升级brpc到 1.8.0 或更高版本
参考链接:https://www.oscs1024.com/hd/MPS-2glc-5ao0

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-2glc-5ao0

https://nvd.nist.gov/vuln/detail/CVE-2024-23452

https://github.com/apache/brpc/commit/ef4ddc644f8f4bf6da1e2a81e763d8e913c340bd

https://lists.apache.org/thread/kkvdpwyr2s2yt9qvvxfdzon012898vxd

(0)
上一篇 2024年2月8日 下午12:00
下一篇 2024年2月12日 上午12:00

相关推荐

  • Apache Airflow 存在Kubernetes配置文件泄露风险 (CVE-2023-51702)

    漏洞类型 日志敏感信息泄露 发现时间 2024-01-24 漏洞等级 中危 MPS编号 MPS-9l6b-gqsm CVE编号 CVE-2023-51702 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Airflow 是一个开源的工作流自动化平台,Apache Airflow CNCF Kubernetes provider 是给 Airflo…

    2024年1月25日
    0
  • Apache Kylin kylin.properties 信息泄漏 (CVE-2023-29055)

    漏洞类型 未授权敏感信息泄露 发现时间 2024-01-29 漏洞等级 低危 MPS编号 MPS-2023-9183 CVE编号 CVE-2023-29055 漏洞影响广度 小 漏洞危害 OSCS 描述 Apache Kylin是一个开源的分布式分析引擎。 在受影响版本中,服务器配置界面会显示配置文件 kylin.properties 的内容,文件中 kyl…

    2024年1月30日
    0
  • OpenSSL TLSv1.3 拒绝服务漏洞 (CVE-2024-2511)

    漏洞类型 拒绝服务 发现时间 2024-04-09 漏洞等级 低危 MPS编号 MPS-1nsb-30rg CVE编号 CVE-2024-2511 漏洞影响广度 广 漏洞危害 OSCS 描述 OpenSSL是OpenSSL团队的一个开源的能够实现安全套接层(SSLv2/v3)和安全传输层(TLSv1)协议的通用加密库。 当服务器启用了SSL_OP_NO_TI…

    2024年4月9日
    0
  • apache-airflow-providers-mongo SSL证书验证不当漏洞 (CVE-2024-25141)

    漏洞类型 证书验证不恰当 发现时间 2024-02-21 漏洞等级 低危 MPS编号 MPS-qd75-4bfu CVE编号 CVE-2024-25141 漏洞影响广度 小 漏洞危害 OSCS 描述 apache-airflow-providers-mongo 是 Apache Airflow 用于连接和操作MongoDB数据库的组件。 apache-air…

    2024年2月21日
    0
  • F5 BIG-IP 远程代码执行漏洞 (CVE-2023-46747)

    漏洞类型 使用候选路径或通道进行的认证绕过 发现时间 2023-10-27 漏洞等级 严重 MPS编号 MPS-79fi-qctw CVE编号 CVE-2023-46747 漏洞影响广度 广 漏洞危害 OSCS 描述 F5 BIG-IP是F5公司的一款集成了网络流量编排、负载均衡、智能DNS,远程接入策略管理等功能的应用交付平台。 F5 BIG-IP通过Ap…

    2023年10月27日
    0