【安全通告】关于 DolphinScheduler 漏洞情况的说明-低调大师

【安全通告】关于 DolphinScheduler 漏洞情况的说明

2021-10-26 576

【安全通报】

【影响程度：低】

Apache DolphinScheduler 社区邮件列表最近通告了 1 个漏洞，考虑到有很多用户并未订阅此邮件列表，我们特地在此进行情况说明：

CVE-2021-27644

重要程度：低

影响范围：暴露服务在外网中、且内部账号泄露。如果无上述情况，用户可根据实际情况决定是否需要升级。

影响版本：<1.3.6

漏洞说明：

此问题是由于mysql connectorj 漏洞引起的，DolphinScheduler 登陆用户（未登录用户无法执行此操作，建议企业做好账号安全规范）可在数据源管理页面-Mysql数据源填写导致安全隐患的恶意参数。（未使用 Mysql 数据源的不影响）

修复建议：升级到>=1.3.6版本

特别感谢

特别感谢漏洞报告者：来自蚂蚁安全非攻实验室的锦辰同学，他提供了漏洞的还原过程以及对应的解决方案。整个过程呈现了专业安全人员的技能和高素质，感谢他们为开源项目的安全守护所作出的贡献。

建议

十分感谢广大用户选择 Apache DolphinScheduler 作为企业的大数据任务调度系统，但必须要提醒的是调度系统属于大数据建设中核心基础设施，请不要将其暴露在外网中。此外应该对企业内部人员账号做好安全措施，降低账号泄露的风险。

贡献

迄今为止，Apache DolphinScheduler 社区已经有近 200+ 位代码贡献者，70+ 位非代码贡献者。其中也不乏其他Apache 顶级项目的 PMC 或者 Committer，非常欢迎更多伙伴也能参与到开源社区建设中来，为建造一个更加稳定安全可靠的大数据任务调度系统而努力，同时也为中国开源崛起献上自己的一份力量！

官网：https://dolphinscheduler.apache.org/

MailList ：dev@dolphinscheduler@apache.org

Twitter ：@DolphinSchedule

YouTube ：https://www.youtube.com/channel/UCmrPmeE7dVqo8DYhSLHa0vA

Slack ：https://s.apache.org/dolphinscheduler-slack

Contributor Guide：https://dolphinscheduler.apache.org/en-us/community/index.html

如果对漏洞有任何疑问，欢迎参与讨论，竭诚解决大家的疑虑。

微信关注我们

原文链接：https://www.oschina.net/news/165906

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

区块链交易隐私如何保证？华为零知识证明技术实战解析

摘要：本文通过介绍华为如何在同态加密及零知识证明框架的集成介绍来介绍了一些对金融领域交易隐私保护的思路，通过代码结和应用场景描述了zksnark如何集成到现有联盟链体系保护交易隐私。本文分享自华为云社区《区块链交易隐私如何保证？华为零知识证明技术实战解析》，作者：麦冬爸。什么是零知识证明？证明者在不泄露任何有效知识的情况下，验证者可以验证某个论断是正确的。图1给出一个有趣的例子，Alice把自己的签名的信封放到一个保险箱中，Bob说他知道这个保险箱的密码，Alice让Bob证明给她看。Bob打开保险箱，把信封拿出来给Alice。Alice验证信封上的签名，确认了Bob确实知道这个密码。这个例子就是Bob没有告诉Alice密码却证明自己知道密码的的过程很好的解释了零知识证明的概念。基于非对称加密和数字签名的证书认证过程，其实也是一个零知识证明的过程，验证者并不需要知晓CA证书，就可以验证对方是由CA签发的下一级证书。零知识证明技术不管应用于金融还是其他领域，都可以对隐私保护，性能提升，或者安全性等场景带来很多帮助。下面，主要从隐私维度来分享华为零知识证明相关技术。图1 零知识证...

2021-10-26

526

基于 ES 7.7, 官方文档注意: 7.15版本中调整了分类, 把7.7版本中的Add和Update合并为"Create or Update", 更符合es api的定义主要内容: Add index alias: 创建或更新别名 Delete index alias: 删除索引别名 Get index alias: 获取索引别名 Index alias exists: 检查索引别名是否存在 Update index alias: 添加/删除索引别名 1. Add index alias: 创建或更新索引别名索引别名，是一个或多个索引的辅助名称。大多数 ES api 都接受使用索引别名来代替索引名称。官方文档链接请求方式 # 支持PUT, POST方式 PUT|POST /<index>/_alias/<alias> # 用 _aliases 也可以的, 但是我们通常用 _alias, 字母能少写一个是一个 PUT|POST /<index>/_aliases/<alias> 当然也可以使用 `_all`来给当前集群的所有索...

2021-10-22

822

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。