234钱包

9月11日，234钱包安全应急响应中心监测到到Apache软件基金会颁布安全布告，修复了Apache DolphinScheduler权限覆盖缝隙和远程执行代码缝隙。。

攻击者可利用这两个缝隙实现权限提升与远程代码执行，风险较高，请有关用户实时升级进行防护，以保障资产安全。。

缝隙描述

Apache DolphinScheduler远程执行代码缝隙

缝隙编号：CVE-2020-11974

该缝隙与mysql connectorj远程执行代码缝隙有关，在选择mysql作为数据库时，攻击者可通过jdbc connect参数输入{“detectCustomCollations”:true,”autoDeserialize”:true}在DolphinScheduler 服务器上远程执行代码。。

Apache DolphinScheduler权限覆盖缝隙

缝隙编号：CVE-2020-13922

该缝隙导致通常用户可通过api interface在DolphinScheduler 系统中覆盖其他用户的密码：api interface /dolphinscheduler/users/update。。

风险等级

高危

影响版本

Apache DolphinScheduler权限覆盖缝隙（CVE-2020-13922）

u Apache DolphinScheduler 1.2.0

u Apache DolphinScheduler 1.2.1

u Apache DolphinScheduler 1.3.1

Apache DolphinScheduler远程执行代码缝隙（CVE-2020-11974）

u Apache DolphinScheduler 1.2.0

u Apache DolphinScheduler 1.2.1

修复建议

目前官方已在最新版本中修复了这次的缝隙，请受影响的用户尽快升级版本至1.3.2进行防护，官方下载链接：

https://dolphinscheduler.apache.org/zh-cn/docs/release/download.html

参考链接

[1] https://www.mail-archive.com/announce@apache.org/msg06076.html

[2] https://www.mail-archive.com/announce@apache.org/msg06077.html

北京234钱包网络技术有限公司

2020/09/11