【缝隙公告】Apache Linkis多个安全缝隙

颁布功夫 2023-04-11


一、缝隙概述

Apache Linkis 在上层利用法式和底层引擎之间构建了一个推算中央件层，，，，，，，以推进衔接、治理和编排。。。。。。。

4月11日，，，，，，，8827太阳集团VSRC监测到Apache颁布安全布告，，，，，，，建复了Linkis中的多个安全缝隙，，，，，，，这些缝隙可能导致文件上传、身份验证绕过和远程代码执行，，，，，，，详情如下：

CVE

影响

标题

描述

CVE-2023-27602

文件上传

Apache Linkis publicsercice�？？？？？？？ ？槲募洗煜�

PublicService�？？？？？？？ ？樯洗募�，，，，，，，对上传文件的蹊径以及文件类型不足限度，，，，，，，可能导致肆意文件上传。。。。。。。

CVE-2023-27603

RCE

Apache Linkis Mangaer�？？？？？？？ ？閆ip Slip缝隙

Manager �？？？？？？？ ？� engineConn 资料上传没有查抄 zip 蹊径，，，，，，，可能导致Zip Slip 缝隙，，，，，，，造成RCE。。。。。。。

CVE-2023-27987

身份验证绕过

Apache Linkis Gateway�？？？？？？？ ？樯矸菅橹と乒煜�

由于Linkis Gateway部署天生的默认token过于单一，，，，，，，使得很容易获取默认token进行攻击，，，，，，，成功利用该缝隙可能导致身份验证绕过。。。。。。�？？？？？？？ ？缮兜紸pache Linkis >= 1.3.2，，，，，，，并批改默认token值。。。。。。。

CVE-2023-29215

RCE

Apache Linkis JDBC EngineConn反序列化缝隙

由于不足对参数的有效过滤，，，，，，，在JDBC EengineConn�？？？？？？？ ？橹信渲枚褚釳ysql JDBC参数会触发反序列化缝隙，，，，，，，最终导致远程代码执行。。。。。。。

CVE-2023-29216

RCE

Apache Linkis DatasourceManager�？？？？？？？ ？榉葱蛄谢煜�

由于没有对参数进行有效过滤，，，，，，，可使用MySQL数据源和恶意参数配置新的数据源以触发反序列化缝隙，，，，，，，最终导致远程代码执行。。。。。。。

 

二、影响领域

Apache Linkis版本：<=1.3.1

  

三、安全措施

3.1 升级版本

目前这些缝隙已经建复，，，，，，，受影响用户可升级到以下版本：

Apache Linkis版本：>= 1.3.2

下载链接：

https://github.com/apache/linkis/releases

3.2 一时措施

暂无。。。。。。。

3.3 通用建议

l  定期更新系统补丁，，，，，，，削减系统缝隙，，，，，，，提升服务器的安全性。。。。。。。

l  加强系统和网络的接见节造，，，，，，，批改防火墙战术，，，，，，，关关非必要的利用端口或服务，，，，，，，削减将危险服务（如SSH、RDP等）露出到公网，，，，，，，削减攻击面。。。。。。。

l  使用企业级安全产品，，，，，，，提升企业的网络安全机能。。。。。。。

l  加强系统用户和权限治理，，，，，，，启用多成分认证机造和最幼权限准则，，，，，，，用户和软件权限应维持在最低限度。。。。。。。

l  启用强密码战术并设置为定期批改。。。。。。。

3.4 参考链接

https://lists.apache.org/thread/wt70jfc0yfs6s5g0wg5dr5klnc48nsp1

https://lists.apache.org/thread/o682wz1ggq491ybvjwokxvcdtnzo76ls

https://lists.apache.org/thread/18vv0m32oy51nzk8tbz13qdl5569y55l

https://lists.apache.org/thread/3cr1cz3210wzwngldwrqzm43vwhghp0p

https://lists.apache.org/thread/6n1vlvnyn441rm02zdqc0wnpckj8ltn8

 

四、版本信息

版本

日期

备注

V1.0

2023-04-11

初次颁布

 

五、附录

5.1 8827太阳集团简介

8827太阳集团成立于1996年，，，，，，，是由留美博士严望佳女士创建的、占有齐全自主知识产权的信息安全高科技企业。。。。。。。是国内最具实力的信息安全产品、安全服务解决规划的领航企业之一。。。。。。。

公司总部位于北京市中关村软件园8827太阳集团大厦，，，，，，，公司员工6000余人，，，，，，，研发团队1200余人, 技术服务团队1300余人。。。。。。。在全国各省、视注自治区设立分支机构六十多个，，，，，，，占有覆盖全国的销售系统、渠路系统和技术支持系统。。。。。。。公司于2010年6月23日在丽江中幼板挂牌上市。。。。。。。（股票代码：002439）

多年来，，，，，，，8827太阳集团致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，，，，，，，援手客户全面提升其IT基础设施的安全性和出产效力，，，，，，，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。。。。。。。

5.2 关于8827太阳集团

8827太阳集团安全应急响应中心已颁布1000多个缝隙公告微风险预警，，，，，，，我们将持续跟踪全球最新的网络安全事务和缝隙，，，，，，，为企业的信息安全保驾护航。。。。。。。

关注我们：

image.png