Apache DolphinScheduler高危漏洞CVE-2020-11974、CVE-2020-13922

admin
admin
admin
101085
文章
87
评论
2020年9月11日18:06:33评论297 views字数 1450阅读4分50秒阅读模式


漏洞概要


漏洞名称：Apache DolphinScheduler高危漏洞CVE-2020-11974、CVE-2020-13922  

威胁等级：高危 

影响范围：

CVE-2020-13922：Apache DolphinScheduler = 1.2.0、1.2.1、1.3.1

CVE-2020-11974：Apache DolphinScheduler = 1.2.0、1.2.1

漏洞类型：权限提升和远程代码执行


漏洞分析


1 Apache DolphinScheduler组件介绍

Apache DolphinScheduler(incubator,原EasyScheduler）是一个分布式工作流任务调度系统，主要解决数据研发ETL错综复杂的依赖关系，不能直观监控任务健康状态。DolphinScheduler以DAG流式的方式将Task组装起来，可实时监控任务的运行状态，同时支持重试、从指定节点恢复失败、暂停及Kill任务等操作。

2 漏洞描述

9月11日Apache软件基金会发布安全公告，修复了Apache DolphinScheduler权限覆盖漏洞（CVE-2020-13922）与Apache DolphinScheduler远程执行代码漏洞（CVE-2020-11974）。
CVE-2020-11974与mysql connectorj远程执行代码漏洞有关，在选择mysql作为数据库时，攻击者可通过jdbc connect参数输入{“detectCustomCollations”:true，“autoDeserialize”:true} 在DolphinScheduler 服务器上远程执行代码。
CVE-2020-13922导致普通用户可通过api interface在DolphinScheduler 系统中覆盖其他用户的密码：api interface /dolphinscheduler/users/update。


影响范围

 


Apache DolphinScheduler权限覆盖漏洞（CVE-2020-13922）受影响版本：

Apache DolphinScheduler = 1.2.0、1.2.1、1.3.1

Apache DolphinScheduler远程执行代码漏洞（CVE-2020-11974）受影响版本：

Apache DolphinScheduler = 1.2.0、1.2.1


解决方案


1 修复建议

目前厂商已在新版本修复漏洞：
补丁下载链接：
https://dolphinscheduler.apache.org/

Apache DolphinScheduler权限覆盖漏洞（CVE-2020-13922）
用户应升级到：
Apache DolphinScheduler >= 1.3.2

Apache DolphinScheduler远程执行代码漏洞（CVE-2020-11974）
用户应升级到：
Apache DolphinScheduler >= 1.3.1


时间轴


2020/09/11

Apache DolphinScheduler官方发布修复补丁

2020/09/11

深信服千里目安全实验室发布漏洞通告


参考链接


https://www.mail-archive.com/[email protected]/msg06076.html
https://www.mail-archive.com/[email protected]/msg06077.html


点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案

Apache DolphinScheduler高危漏洞CVE-2020-11974、CVE-2020-13922


  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2020年9月11日18:06:33
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   Apache DolphinScheduler高危漏洞CVE-2020-11974、CVE-2020-13922http://cn-sec.com/archives/129387.html

发表评论

匿名网友 填写信息