234钱包

近日，，，234钱包安全应急响应中心监测到Apache Unomi存在远程代码执行缝隙。该缝隙编号为CVE-2020-13942，，，CVS评分10.0，，，风险等级为严重。

该缝隙：：：ρ现兀，利用成本较低，，，且有关利用POC已公开，，，请使用了Apache Unomi的用户尽快升级到安全版本，，，预防遭逢恶意攻击。

缝隙描述

Apache Unomi允许远程攻击者发送使用MVEL和OGNL表白式的恶意要求，，，从而导致可使用Unomi服务的特权进行远程号令执行。MVEL和OGNL表白式是Unomi利用中两个分歧内部包中的表白式，，，攻击者利用该缝隙能够成功绕过1.5.1版本中的安全节制，，，能够在两个分歧的地位造成RCE攻击。 

Unomi服务通常与内网中的各类数据存储和数据分析系统集成。该缝隙通过公共端点触发，，，使攻击者可能在易受攻击的服务器上运行操作系统号令。易受攻击的公共端点使Unomi成为入侵内网的梦想入口点，，，进一步利用可在内网横移，，，：：：。

风险等级

严重

影响版本

Apache Unomi < 1.5.2

修复建议

1. 升级到Apache Unomi 1.5.2版本

2. 尽可能预防将数据放入表白式诠释器中

参考链接

[1]https://securityboulevard.com/2020/11/apache-unomi-cve-2020-13942-rce-vulnerabilities-discovered/?utm_source=dlvr.it&utm_medium=twitter

[2]http://unomi.apache.org/download.html

北京234钱包网络技术有限公司

2020/11/19