Apache ZooKeeper身份验证绕过漏洞（CVE-2024-51504）

Apache ZooKeeper是一个分布式协调服务，主要用于管理大型分布式系统中的数据和状态，它提供了高效的分布式锁、配置管理、命名服务和集群管理功能，通过简单的接口支持分布式应用实现一致性和协调。ZooKeeper通常用于保障分布式应用的高可用性和数据一致性，适用于如Hadoop、Kafka、HBase等系统，帮助协调各个节点的状态和操作，避免冲突和数据不一致问题。

2024年11月7日，启明星辰集团VSRC监测到Apache ZooKeeper中修复了一个身份验证绕过漏洞（CVE-2024-51504）。

Apache ZooKeeper 3.9.0 - 3.9.3之前版本中存在身份验证绕过漏洞（CVE-2024-51504），当ZooKeeper Admin Server使用基于IP的身份验证（IPAuthenticationProvider）时，由于默认配置下使用了可被轻易伪造的HTTP请求头（如X-Forwarded-For）来检测客户端IP地址，攻击者可通过伪造请求头中的IP地址来绕过身份验证，进而实现未授权访问管理服务器功能并任意执行管理服务器命令（例如快照和恢复），从而可能导致信息泄露或服务可用性问题。

二、影响范围

3.9.0 <= Apache ZooKeeper < 3.9.3

三、安全措施

3.1 升级版本

目前该漏洞已经修复，受影响用户可升级到以下版本：

Apache ZooKeeper >= 3.9.3

下载链接：

https://zookeeper.apache.org/releases.html

3.2 临时措施

暂无。

3.3 通用建议

定期更新系统补丁，减少系统漏洞，提升服务器的安全性。

加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。

使用企业级安全产品，提升企业的网络安全性能。

加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

启用强密码策略并设置为定期修改。

3.4 参考链接

https://seclists.org/oss-sec/2024/q4/60

https://zookeeper.apache.org/index.html

原文始发于微信公众号（启明星辰安全简讯）：【漏洞通告】Apache ZooKeeper身份验证绕过漏洞（CVE-2024-51504）