Apache ShardingSphere&UI遠(yuǎn)程代碼執(zhí)行漏洞CVE-2020-1947的示例分析

這篇文章將為大家詳細(xì)講解有關(guān)Apache ShardingSphere&UI遠(yuǎn)程代碼執(zhí)行漏洞CVE-2020-1947的示例分析，文章內(nèi)容質(zhì)量較高，因此小編分享給大家做個(gè)參考，希望大家閱讀完這篇文章后對相關(guān)知識有一定的了解。

0x01 漏洞背景

2020年3月11日，360CERT監(jiān)測發(fā)現(xiàn)ShardingSphere官方發(fā)布4.0.1版本的更新公告，當(dāng)攻擊者在后臺管理處提交惡意 yaml ，會被解析從而造成代碼執(zhí)行

ShardingSphere是一套開源的分布式數(shù)據(jù)庫中間件解決方案組成的生態(tài)圈，它由Sharding-JDBC、Sharding-Proxy和Sharding-Sidecar（計(jì)劃中）這3款相互獨(dú)立的產(chǎn)品組成。他們均提供標(biāo)準(zhǔn)化的數(shù)據(jù)分片、分布式事務(wù)和數(shù)據(jù)庫治理功能，可適用于如Java同構(gòu)、異構(gòu)語言、云原生等各種多樣化的應(yīng)用場景。

Apache ShardingSphere UI是Apache ShardingSphere的圖形界面版產(chǎn)品

0x02 風(fēng)險(xiǎn)等級

360CERT對該漏洞進(jìn)行評定

360CERT建議廣大用戶及時(shí)更新ShardingSphere。做好資產(chǎn) 自查/自檢/預(yù)防 工作，以免遭受攻擊。

0x03 影響版本

• Apache ShardingSphere&UI <= 4.0.0

0x04 漏洞證明

利用默認(rèn)用戶名密碼進(jìn)行登錄 admin/admin

0x05 修復(fù)建議

臨時(shí)修補(bǔ)方案：修改/conf/application.properties的默認(rèn)用戶名密碼

官方修補(bǔ)方案: 更新至最新版本，

https://github.com/apache/incubator-shardingsphere

0x06 產(chǎn)品側(cè)解決方案

360城市級網(wǎng)絡(luò)安全監(jiān)測服務(wù)

360安全大腦的QUAKE資產(chǎn)測繪平臺通過資產(chǎn)測繪技術(shù)手段，對該類 漏洞/事件 進(jìn)行監(jiān)測，請用戶聯(lián)系相關(guān)產(chǎn)品區(qū)域負(fù)責(zé)人獲取對應(yīng)產(chǎn)品。

360AISA全流量威脅分析系統(tǒng)

360AISA基于360海量安全大數(shù)據(jù)和實(shí)戰(zhàn)經(jīng)驗(yàn)訓(xùn)練的模型，進(jìn)行全流量威脅檢測，實(shí)現(xiàn)實(shí)時(shí)精準(zhǔn)攻擊告警，還原攻擊鏈。

目前產(chǎn)品具備該漏洞/攻擊的實(shí)時(shí)檢測能力。

0x07 時(shí)間線

2020-03-09 官方發(fā)布更新公告

2020-03-11 360CERT發(fā)布預(yù)警

關(guān)于Apache ShardingSphere&UI遠(yuǎn)程代碼執(zhí)行漏洞CVE-2020-1947的示例分析就分享到這里了，希望以上內(nèi)容可以對大家有一定的幫助，可以學(xué)到更多知識。如果覺得文章不錯(cuò)，可以把它分享出去讓更多的人看到。