Apache Flink 任意 Jar 包上传导致远程代码执行漏洞复现问题(漏洞预警)

 更新时间:2019年11月26日 09:59:06   作者:独孤风  
这篇文章主要介绍了Apache Flink 任意 Jar 包上传导致远程代码执行漏洞复现问题,本文给出了修复建议和解决方案,需要的朋友可以参考下

漏洞描述

Apache Flink是一个用于分布式流和批处理数据的开放源码平台。Flink的核心是一个流数据流引擎,它为数据流上的分布式计算提供数据分发、通信和容错功能。Flink在流引擎之上构建批处理,覆盖本地迭代支持、托管内存和程序优化。近日有安全研究人员发现apache flink允许上传任意的jar包从而导致远程代码执行。

漏洞级别

高危

影响范围

Apache Flink <=1.9.1

漏洞复现

首先下载Apache Flink 1.9.1安装包并进行解压,之后进入bin文件夹内运行./start-cluster.sh启动环境,浏览器访问http://ip:8081验证是否成功,如下图所示:

接着使用生成jar的木马文件并进行上传,如下图所示:

开启msf进行监听并点击提交,可看到成功返回一个shell。如下图所示:

修复建议

建议用户关注Apache Flink官网,及时获取该漏洞最新补丁。

临时解决建议

设置IP白名单只允许信任的IP访问控制台并添加访问认证。

漏洞检测方法

目前github已有相应公开的检测poc,如下图所示:

链接:https://github.com/LandGrey/flink-unauth-rce

总结

以上所述是小编给大家介绍的Apache Flink 任意 Jar 包上传导致远程代码执行漏洞复现问题,希望对大家有所帮助,如果大家有任何疑问请给我留言,小编会及时回复大家的。在此也非常感谢大家对脚本之家网站的支持!
如果你觉得本文对你有帮助,欢迎转载,烦请注明出处,谢谢!

相关文章

  • 正确配置与维护Apache安全性设置方法

    正确配置与维护Apache安全性设置方法

    Apache Server是一个非常优秀,非常棒的服务器,只要你正确配置和维护好Apache服务器,你就会感受到Apache Server 所带来的好处,同样希望你能够通过阅读本文达到理论和实践双丰收的目的。
    2010-12-12
  • linux &、nohup与Systemctl的使用

    linux &、nohup与Systemctl的使用

    这篇文章主要介绍了linux &、nohup与Systemctl的使用,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋友们下面随着小编来一起学习学习吧
    2019-07-07
  • 详解CentOS7防火墙管理firewalld

    详解CentOS7防火墙管理firewalld

    本篇文章主要介绍了CentOS7防火墙管理firewalld,centos 7中防火墙是一个非常的强大的功能了,有兴趣的可以了解一下。
    2016-12-12
  • linux 字符界面 安装模式创建LVM

    linux 字符界面 安装模式创建LVM

    linux 字符界面 安装模式创建LVM,需要的朋友可以参考下。
    2010-03-03
  • CentOS 6.6安装配置LAMP服务器(Apache+PHP5+MySQL)

    CentOS 6.6安装配置LAMP服务器(Apache+PHP5+MySQL)

    这篇文章主要介绍了CentOS 6.6服务器下安装配置LAMP服务器的方法,考虑到apache处理php的性能可以选择apache,如果静态页面可以安装nginx
    2016-10-10
  • Linux如何处理文件已删除但空间不释放的问题

    Linux如何处理文件已删除但空间不释放的问题

    这篇文章主要介绍了Linux如何处理文件已删除但空间不释放的问题,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋友们下面随着小编来一起学习学习吧
    2020-03-03
  • Linux删除文件提示Operation not permitted的处理办法

    Linux删除文件提示Operation not permitted的处理办法

    今天小编就为大家分享一篇关于Linux删除文件提示Operation not permitted的处理办法,小编觉得内容挺不错的,现在分享给大家,具有很好的参考价值,需要的朋友一起跟随小编来看看吧
    2019-03-03
  • linux防火墙iptables规则的查看、添加、删除和修改方法总结

    linux防火墙iptables规则的查看、添加、删除和修改方法总结

    本文介绍了如何对linux防火墙iptables规则进行查看、添加、删除和修改的操作,大家可以参考一下
    2018-03-03
  • Linux下core文件的使用方法详解

    Linux下core文件的使用方法详解

    大家都知道,在程序异常推出时,内核会生成一个core文件(是内存映像以及调试信息),下面这篇文章主要给大家介绍了关于Linux下core文件的使用方法,文中通过示例代码介绍的非常详细,需要的朋友可以参考借鉴,下面随着小编来一起学习学习吧。
    2018-03-03
  • CentOS 7.2配置Apache服务httpd(上)

    CentOS 7.2配置Apache服务httpd(上)

    这篇文章主要为大家详细介绍了CentOS 7.2配置Apache服务 httpd上篇,具有一定的参考价值,感兴趣的小伙伴们可以参考一下
    2016-11-11

最新评论