报告编号:B6-2021-010601
报告来源:360CERT
报告作者:360CERT
更新日期:2021-01-06
0x01漏洞简述
2021年01月06日,360CERT监测发现Apache Flink
发布了Apache Flink 目录穿越漏洞,目录穿越漏洞
的风险通告,漏洞编号为CVE-2020-17518,CVE-2020-17519
,漏洞等级:高危
,漏洞评分:8.5
。
远程攻击者通过REST API
目录遍历,可造成文件读取/写入
的影响。
对此,360CERT建议广大用户及时将Apache Flink
升级到最新版本。与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。
0x02风险等级
360CERT对该漏洞的评定结果如下
评定方式 | 等级 |
---|---|
威胁等级 | 高危 |
影响面 | 一般 |
360CERT评分 | 8.5 |
0x03漏洞详情
Apache Flink
是由Apache
软件基金会开发的开源流处理框架,其核心是用Java
和Scala
编写的分布式流数据流引擎。在Apache Flink 1.5.1
版本中引入了REST API
。
CVE-2020-17518: 文件写入漏洞
攻击者利用REST API
,可以修改HTTP
头,将上传的文件写入到本地文件系统上的任意位置(Flink 1.5.1
进程能访问到的)。
CVE-2020-17519: 文件读取漏洞
Apache Flink 1.11.0 允许攻击者通过JobManager
进程的REST API
读取JobManager
本地文件系统上的任何文件(JobManager
进程能访问到的) 。
0x04影响版本
CVE-2020-17519
-Apache:Apache Flink
: 1.11.0, 1.11.1, 1.11.2
CVE-2020-17519
-Apache:Apache Flink
: 1.5.1 - 1.11.2
0x05修复建议
通用修补建议
所有用户升级到Flink 1.11.3或1.12.0,下载链接为:
https://flink.apache.org/downloads.html
https://flink.apache.org/downloads.html
0x06相关空间测绘数据
360安全大脑-Quake网络空间测绘系统通过对全网资产测绘,发现Apache Flink
产品具体分布如下图所示。
0x07产品侧解决方案
360城市级网络安全监测服务
360CERT的安全分析人员利用360安全大脑的QUAKE资产测绘平台(quake.360.cn),通过资产测绘技术的方式,对该漏洞进行监测。可联系相关产品区域负责人或(quake#360.cn)获取对应产品。
0x08时间线
2021-01-05 Apache官方发布通告
2021-01-06 360CERT发布通告
0x09参考链接
1、 CVE-2020-17518
https://lists.apache.org/thread.html/rb43cd476419a48be89c1339b527a18116f23eec5b6df2b2acbfef261%40%3Cdev.flink.apache.org%3E
2、 CVE-2020-17519
https://lists.apache.org/thread.html/r6843202556a6d0bce9607ebc02e303f68fc88e9038235598bde3b50d%40%3Cdev.flink.apache.org%3E
0x0a特制报告下载链接
一直以来,360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务,现360CERT正式推出安全通告特制版报告,以便用户做资料留存、传阅研究与查询验证。用户可直接通过以下链接进行特制报告的下载。
CVE-2020-17518/17519:Apache Flink 目录遍历漏洞
http://pub-shbt.s3.360.cn/cert-public-file/【360CERT】CVE-2020-17518_17519_Apache_Flink_目录遍历漏洞.pdf
若有订阅意向与定制需求请扫描下方二维码进行信息填写,或发送邮件至g-cert-report#360.cn ,并附上您的 公司名、姓名、手机号、地区、邮箱地址。
推荐阅读:
3、CVE-2020-10148: SolarWinds 远程代码执行漏洞通告
长按下方二维码关注360CERT!谢谢你的关注!
注:360CERT官方网站提供 《CVE-2020-17518/17519:Apache Flink 目录遍历漏洞》 完整详情,点击阅读原文
本文始发于微信公众号(三六零CERT):CVE-2020-17518/17519:Apache Flink 目录遍历漏洞
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论