2021年01月06日,360CERT监测发现Apache Flink发布了Apache Flink 目录穿越漏洞,目录穿越漏洞的风险通告,漏洞编号为CVE-2020-17518,CVE-2020-17519,漏洞等级:高危,漏洞评分:8.5。
远程攻击者通过REST API目录遍历,可造成文件读取/写入的影响。
对此,360CERT建议广大用户及时将Apache Flink升级到最新版本。与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。
360CERT对该漏洞的评定结果如下
评定方式 |
等级 |
威胁等级 |
高危 |
影响面 |
一般 |
360CERT评分 |
8.5 |
Apache Flink是由Apache软件基金会开发的开源流处理框架,其核心是用Java和Scala编写的分布式流数据流引擎。在Apache Flink 1.5.1版本中引入了REST API。
CVE-2020-17518: 文件写入漏洞
攻击者利用REST API,可以修改HTTP头,将上传的文件写入到本地文件系统上的任意位置(Flink 1.5.1进程能访问到的)。
CVE-2020-17519: 文件读取漏洞
Apache Flink 1.11.0 允许攻击者通过JobManager进程的REST API读取JobManager本地文件系统上的任何文件(JobManager进程能访问到的) 。
CVE-2020-17519
–Apache:Apache Flink: 1.11.0, 1.11.1, 1.11.2
CVE-2020-17519
–Apache:Apache Flink: 1.5.1 – 1.11.2
通用修补建议
所有用户升级到Flink 1.11.3或1.12.0,下载链接为:
https://flink.apache.org/downloads.html
360安全大脑-Quake网络空间测绘系统通过对全网资产测绘,发现Apache Flink产品具体分布如下图所示。
2021-01-05 Apache官方发布通告
2021-01-06 360CERT发布通告
一直以来,360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务,现360CERT正式推出安全通告特制版报告,以便用户做资料留存、传阅研究与查询验证。用户可直接通过以下链接进行特制报告的下载。
CVE-2020-17518/17519:Apache Flink 目录遍历漏洞
本文由360CERT安全通告原创发布
https://wangzhan.360.cn/408.html