Apache Flink 任意 Jar 包上傳導(dǎo)致遠(yuǎn)程代碼執(zhí)行漏洞復(fù)現(xiàn)問題(漏洞預(yù)警)
漏洞描述
Apache Flink是一個(gè)用于分布式流和批處理數(shù)據(jù)的開放源碼平臺(tái)。Flink的核心是一個(gè)流數(shù)據(jù)流引擎，它為數(shù)據(jù)流上的分布式計(jì)算提供數(shù)據(jù)分發(fā)、通信和容錯(cuò)功能。Flink在流引擎之上構(gòu)建批處理，覆蓋本地迭代支持、托管內(nèi)存和程序優(yōu)化。近日有安全研究人員發(fā)現(xiàn)apache flink允許上傳任意的jar包從而導(dǎo)致遠(yuǎn)程代碼執(zhí)行。
漏洞級(jí)別
高危
影響范圍
Apache Flink <=1.9.1
漏洞復(fù)現(xiàn)
首先下載Apache Flink 1.9.1安裝包并進(jìn)行解壓，之后進(jìn)入bin文件夾內(nèi)運(yùn)行./start-cluster.sh啟動(dòng)環(huán)境，瀏覽器訪問http://ip:8081驗(yàn)證是否成功，如下圖所示：
接著使用生成jar的木馬文件并進(jìn)行上傳，如下圖所示:
開啟msf進(jìn)行監(jiān)聽并點(diǎn)擊提交，可看到成功返回一個(gè)shell。如下圖所示：
修復(fù)建議
建議用戶關(guān)注Apache Flink官網(wǎng)，及時(shí)獲取該漏洞最新補(bǔ)丁。
臨時(shí)解決建議
設(shè)置IP白名單只允許信任的IP訪問控制臺(tái)并添加訪問認(rèn)證。
漏洞檢測(cè)方法
目前github已有相應(yīng)公開的檢測(cè)poc,如下圖所示：
鏈接：https://github.com/LandGrey/flink-unauth-rce
總結(jié)
以上所述是小編給大家介紹的Apache Flink 任意 Jar 包上傳導(dǎo)致遠(yuǎn)程代碼執(zhí)行漏洞復(fù)現(xiàn)問題，希望對(duì)大家有所幫助，如果大家有任何疑問請(qǐng)給我留言，小編會(huì)及時(shí)回復(fù)大家的。在此也非常感謝大家對(duì)腳本之家網(wǎng)站的支持！
如果你覺得本文對(duì)你有幫助，歡迎轉(zhuǎn)載，煩請(qǐng)注明出處，謝謝！
相關(guān)文章
CentOS7下安裝yum源及上傳下載命令rz、sz安裝方法(圖解)
這篇文章主要介紹了CentOS7下安裝yum源及上傳下載命令rz、sz安裝方法，本文通過圖文并茂的形式給大家介紹的非常詳細(xì)，具有一定的參考借鑒價(jià)值,需要的朋友可以參考下2019-11-11
為了方便管理一些程序或腳本,可以將這些程序以及腳本都制作在一個(gè)deb包中,?本文主要為大家介紹了如何制作一個(gè)deb包,有需要的小伙伴可以參考下2024-12-12
這篇文章主要為大家詳細(xì)介紹了Linux下ZooKeeper分布式集群安裝教程，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下2017-12-12
MongoDB 是一個(gè)基于分布式文件存儲(chǔ)的數(shù)據(jù)庫。由 C++ 語言編寫。旨在為 WEB 應(yīng)用提供可擴(kuò)展的高性能數(shù)據(jù)存儲(chǔ)解決方案。這篇文章主要介紹了linux下安裝mongodb,需要的朋友可以參考下2019-12-12
centos 7中添加一個(gè)新用戶并授權(quán)的步驟詳解
這篇文章主要給大家介紹了關(guān)于在centos 7中添加一個(gè)新用戶并授權(quán)的步驟，文中將實(shí)現(xiàn)的步驟介紹的非常詳細(xì)，通過文中介紹的步驟可以輕松的創(chuàng)建一個(gè)新用戶并授權(quán)，需要的朋友可以參考借鑒，下面來一起看看吧。2017-08-08
這篇文章主要介紹了如何使用?Apache?設(shè)置反向代理,該模塊使用ProxyApache 配置文件中的 -prefixed 指令進(jìn)行配置。我們接下來會(huì)設(shè)置這些，需要的朋友可以參考下2022-01-01
apache虛擬主機(jī)配置的三種方式(小結(jié))
本文主要介紹了apache虛擬主機(jī)配置的三種方式，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2022-07-07
智能DNS可以說是CDN的基礎(chǔ)。相信平時(shí)大家做網(wǎng)站都會(huì)有下面的情況：首頁上放兩個(gè)鏈接，電信用戶請(qǐng)?jiān)L問主力站點(diǎn)A，網(wǎng)通用戶請(qǐng)?jiān)L問鏡像站點(diǎn)B2013-04-04
Linux如何修改hosts文件并刷新DNS生效hosts文件
這篇文章主要介紹了Linux如何修改hosts文件并刷新DNS生效hosts文件問題，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。如有錯(cuò)誤或未考慮完全的地方，望不吝賜教2023-07-07
這篇文章主要介紹了Linux在丟失的情況下重置密碼,本文給大家介紹的非常詳細(xì)，具有一定的參考借鑒價(jià)值，需要的朋友可以參考下2019-10-10