Apache Traffic Control SQL注入漏洞（CVE-2024-45387）

漏洞预警:
Apache Traffic Control（ATC）是一个开源的、基于 Web 的负载均衡和流量管理解决方案,主要用于管理和配置内容分发网络（CDN）和其他网络流量分发基础设施,Traffic Ops是 Apache Traffic Control 的核心组件,负责配置、管理和自动化CDN中的各类资源,它提供了基于 REST API的接口来管理交付服务、缓存、DNS 配置等,Apache Traffic Control SQL注入漏洞（CVE-2024-45387）的PoC在互联网上公开,该漏洞的CVSS评分为9.9,由于Apache Traffic Control的Traffic Ops组件中未对输入进行充分验证或过滤,具有特定角色（如admin、federation、operations、portal、steering）的特权用户可通过向deliveryservice_request_comments 端点发送特制的PUT请求,利用SQL注入漏洞执行任意SQL查询,从而可能泄露、修改或删除数据库中的数据。

影响范围:
Apache Traffic Control 8.0.0 - 8.0.1

修复建议:
升级版本
目前该漏洞已经修复,受影响用户可升级到以下版本:
Apache Traffic Control >= 8.0.2

下载链接:
https://trafficcontrol.apache.org/releases/

临时措施:
暂无

原文始发于微信公众号（飓风网络安全）：【漏洞预警】Apache Traffic Control SQL注入漏洞（CVE-2024-45387）