XXL-JOB 默认 accessToken 身份绕过导致 RCE

漏洞说明

XXL-JOB 默认配置下，用于调度通讯的 accessToken 不是随机生成的，而是使用 application.properties 配置文件中的默认值。在实际使用中如果没有修改默认值，攻击者可利用此绕过认证调用 executor，执行任意代码，从而获取服务器权限。

漏洞分析

查看XXL-JOB在github官方文档和相关代码，该漏洞成因简单明了

漏洞利用

漏洞修复

修改调度中心和执行器配置项 xxl.job.accessToken 的默认值，注意要设置相同的值：
https://www.xuxueli.com/xxl-job/#5.10%20%E8%AE%BF%E9%97%AE%E4%BB%A4%E7%89%8C%EF%BC%88AccessToken%EF%BC%89

原文始发于微信公众号（南街老友）：XXL-JOB 默认 accessToken 身份绕过导致 RCE