建站
咨詢
售后
建站咨詢
新聞中心
漏洞描述
在港口等地區(qū)，都構(gòu)建了全面的區(qū)域性戰(zhàn)略布局，加強(qiáng)發(fā)展的系統(tǒng)性、市場(chǎng)前瞻性、產(chǎn)品創(chuàng)新能力，以專注、極致的服務(wù)理念，為客戶提供網(wǎng)站設(shè)計(jì)、成都做網(wǎng)站 網(wǎng)站設(shè)計(jì)制作按需求定制制作,公司網(wǎng)站建設(shè),企業(yè)網(wǎng)站建設(shè),高端網(wǎng)站設(shè)計(jì),營(yíng)銷型網(wǎng)站建設(shè),成都外貿(mào)網(wǎng)站建設(shè)公司,港口網(wǎng)站建設(shè)費(fèi)用合理。
apache Flink是一個(gè)用于分布式流和批處理數(shù)據(jù)的開放源碼平臺(tái)。Flink的核心是一個(gè)流數(shù)據(jù)流引擎，它為數(shù)據(jù)流上的分布式計(jì)算提供數(shù)據(jù)分發(fā)、通信和容錯(cuò)功能。Flink在流引擎之上構(gòu)建批處理，覆蓋本地迭代支持、托管內(nèi)存和程序優(yōu)化。近日有安全研究人員發(fā)現(xiàn)apache flink允許上傳任意的jar包從而導(dǎo)致遠(yuǎn)程代碼執(zhí)行。
漏洞級(jí)別
高危
影響范圍
Apache Flink <=1.9.1
漏洞復(fù)現(xiàn)
首先下載Apache Flink 1.9.1安裝包并進(jìn)行解壓，之后進(jìn)入bin文件夾內(nèi)運(yùn)行./start-cluster.sh啟動(dòng)環(huán)境，瀏覽器訪問http://ip:8081驗(yàn)證是否成功，如下圖所示：
接著使用生成jar的木馬文件并進(jìn)行上傳，如下圖所示:
開啟msf進(jìn)行監(jiān)聽并點(diǎn)擊提交，可看到成功返回一個(gè)shell。如下圖所示：
修復(fù)建議
建議用戶關(guān)注Apache Flink官網(wǎng)，及時(shí)獲取該漏洞最新補(bǔ)丁。
臨時(shí)解決建議
設(shè)置IP白名單只允許信任的IP訪問控制臺(tái)并添加訪問認(rèn)證。
漏洞檢測(cè)方法
目前github已有相應(yīng)公開的檢測(cè)poc,如下圖所示：
鏈接：https://github.com/LandGrey/flink-unauth-rce
總結(jié)
以上所述是小編給大家介紹的Apache Flink 任意 Jar 包上傳導(dǎo)致遠(yuǎn)程代碼執(zhí)行漏洞復(fù)現(xiàn)問題，大家如有疑問可以留言，或者聯(lián)系站長(zhǎng)。感謝親們支持！??！
如果你覺得本文對(duì)你有幫助，歡迎轉(zhuǎn)載，煩請(qǐng)注明出處，謝謝！
成都網(wǎng)站設(shè)計(jì)制作選創(chuàng)新互聯(lián)，專業(yè)網(wǎng)站建設(shè)公司。
成都創(chuàng)新互聯(lián)10余年專注成都高端網(wǎng)站建設(shè)定制開發(fā)服務(wù),為客戶提供專業(yè)的成都網(wǎng)站制作,成都網(wǎng)頁(yè)設(shè)計(jì),成都網(wǎng)站設(shè)計(jì)服務(wù);成都創(chuàng)新互聯(lián)服務(wù)內(nèi)容包含成都網(wǎng)站建設(shè)，小程序開發(fā)，營(yíng)銷網(wǎng)站建設(shè)，網(wǎng)站改版，服務(wù)器托管租用等互聯(lián)網(wǎng)服務(wù)。
文章標(biāo)題：Apache Flink 任意 Jar 包上傳導(dǎo)致遠(yuǎn)程代碼執(zhí)行漏洞復(fù)現(xiàn)問題(漏洞預(yù)警)
本文URL：http://www.5511xx.com/article/cdjisgp.html
