微步情报局发现Apache Linkis漏洞，再获Apache官方致谢

Apache Linkis 是一个用于大数据平台的计算中间件，旨在简化大数据任务的管理和执行。它提供了一个统一的接口，支持多种计算引擎（如 Spark、Hive、Flink 等），并帮助用户更高效地管理和调度大数据任务。

近日，Apache 官方发布了安全补丁更新，修复了一个由微步情报局安全研究员Le1a报告的漏洞 —— Apache Linkis JDBC 任意文件读取漏洞，编号为CVE-2024-45627（https://x.threatbook.com/v5/vul/XVE-2024-38770）。经过身份验证的攻击者可通过此漏洞读取系统敏感文件。

由于Apache Linkis作为中间件解耦项目的特性，可能会读取到其他程序的配置文件，包括数据库的账户名和密码等敏感信息。建议受影响的客户尽快修复。

综合处置优先级：高

官方修复方案：

Apache基金会官方已发布漏洞公告，请尽快前往下载更新补丁：

临时修复方案：

1. 该漏洞利用的前提是具备后台的登录权限。建议修改后台密码为强口令，提高安全意识，避免口令泄露。

2. 如非必要，避免将资产暴露在互联网。