了解金山云最新公告
2020-11-19 00:00:00
近日，金山云安全應(yīng)急響應(yīng)中心監(jiān)測(cè)到Apache Unomi存在遠(yuǎn)程代碼執(zhí)行漏洞。該漏洞編號(hào)為CVE-2020-13942，CVS評(píng)分10.0，風(fēng)險(xiǎn)等級(jí)為嚴(yán)重。
該漏洞危害嚴(yán)重，利用成本較低，且相關(guān)利用POC已公開，請(qǐng)使用了Apache Unomi的用戶盡快升級(jí)到安全版本，避免遭受惡意攻擊。
漏洞描述
Apache Unomi允許遠(yuǎn)程攻擊者發(fā)送使用MVEL和OGNL表達(dá)式的惡意請(qǐng)求，從而導(dǎo)致可使用Unomi服務(wù)的特權(quán)進(jìn)行遠(yuǎn)程命令執(zhí)行。MVEL和OGNL表達(dá)式是Unomi應(yīng)用中兩個(gè)不同內(nèi)部包中的表達(dá)式，攻擊者利用該漏洞可以成功繞過1.5.1版本中的安全控制，可以在兩個(gè)不同的位置造成RCE攻擊。
Unomi服務(wù)通常與內(nèi)網(wǎng)中的各種數(shù)據(jù)存儲(chǔ)和數(shù)據(jù)分析系統(tǒng)集成。該漏洞通過公共端點(diǎn)觸發(fā)，使攻擊者能夠在易受攻擊的服務(wù)器上運(yùn)行操作系統(tǒng)命令。易受攻擊的公共端點(diǎn)使Unomi成為入侵內(nèi)網(wǎng)的理想入口點(diǎn)，進(jìn)一步利用可在內(nèi)網(wǎng)橫移，危害極大。
風(fēng)險(xiǎn)等級(jí)
嚴(yán)重
影響版本
Apache Unomi < 1.5.2
修復(fù)建議
1. 升級(jí)到Apache Unomi 1.5.2版本
2. 盡可能避免將數(shù)據(jù)放入表達(dá)式解釋器中
參考鏈接
[1]https://securityboulevard.com/2020/11/apache-unomi-cve-2020-13942-rce-vulnerabilities-discovered/?utm_source=dlvr.it&utm_medium=twitter
[2]http://unomi.apache.org/download.html
北京金山云網(wǎng)絡(luò)技術(shù)有限公司
2020/11/19