Apache Heron <0.20.5-incubating 存在CRLF日志注入漏洞-低调大师

Apache Heron <0.20.5-incubating 存在CRLF日志注入漏洞

2022-10-24 421 89

漏洞描述

Apache Heron是一款分布式、具有容错功能的实时流处理引擎。

在<0.20.5-incubating之前的ApacheHeron版本中由于日志语句中缺少转义导致CRLF日志注入漏洞，攻击者可利用此漏洞通过在日志语句中传入精心制作的特殊字符（'\r','\n'）从而造成CRLF攻击，进一步造成XSS、Web服务器中毒、Cookie劫持等攻击。

漏洞名称	Apache Heron <0.20.5-incubating 存在CRLF日志注入漏洞
漏洞类型	CRLF注入
发现时间	2022-10-24
漏洞影响广度	小
MPS编号	MPS-2021-32843
CVE编号	CVE-2021-42010
CNVD编号	-

影响范围

org.apache.heron:heron-api@[v0.20.1-incubating-rc1, 0.20.5-incubating)

修复方案

将组件 org.apache.heron:heron-api 升级至 0.20.5-incubating 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-2021-32843

https://nvd.nist.gov/vuln/detail/CVE-2021-42010

https://seclists.org/oss-sec/2022/q4/37

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/214718

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

2022-10-24 13:42:00

mica 2.7.5 发布，微服务框架

mica 2.7.5 已经发布，微服务框架。此版本更新内容包括： ✨ mica-xss @XssCleanIgnore 注解添加 value() 数组，支持忽略 json body 字段名。感谢冷冷（pig开源）提出的需求。 ✨ mica-redis hash 便捷取并集，感谢 @zqf (zqf) pr mica-xss json int、bool 等基础类型映射到字符串时的类型问题。感谢 @有请岁月反馈。 ⬆️ 依赖升级详情查看：https://gitee.com/596392912/mica/releases/2.7.5

412

2022-10-24 09:52:00

一种基于柔性事务的分布式事务解决方案设计探究

1 背景市面上常见的有，2pc/3pc、tcc、saga等常见的分布式事务解决方案，但是实际实施起来框架比较重，设计开发比较繁琐，不易于快速开发上手。本文提供一种基于柔性事务设计的简单易上手的分布式事务设计方案，用于解决常见的分布式事务常见场景。 2 常见分布式事务场景 2.1 同步场景常见的场景，方法内依赖外部微服务多个同步接口，等同步接口返回再展开后续逻辑，如下图1描述。图1 分布式事务同步场景存在的问题：B/C失败后，A/B不能回滚，造成数据不一致？ 2.2 异步场景方法内依赖外部微服务多个同步接口同时，本地事务提交并发出异步MQ，如下图2描述。图2 分布式事务异步场景存在的问题：询价系统无法保证本地事务和mq消息的发送同时成功或失败，会造成数据不一致。 3 解决方案 3.1 数据模型设计事务表：记录每次同步方法执行的状态，包括：1-进行中（同步方法执行开始）、2-已完成（同步方法执行成功）、3-失败（同步方法执行失败）、4-已回滚（回滚方法执行成功）；方法调用表：记录一个完整的事务内所有方法的执行前入参、同步方法接口、回滚接口、回滚入参、方法执行顺序，如下图...

321

资源下载

更多资源

Mario，低调大师唯一一个Java游戏作品

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Oracle Database，又名Oracle RDBMS

Oracle Database，又名Oracle RDBMS，或简称Oracle。是甲骨文公司的一款关系数据库管理系统。它是在数据库领域一直处于领先地位的产品。可以说Oracle数据库系统是目前世界上流行的关系数据库管理系统，系统可移植性好、使用方便、功能强，适用于各类大、中、小、微机环境。它是一种高效率、可靠性好的、适应高吞吐量的数据库方案。

Eclipse（集成开发环境）

Eclipse 是一个开放源代码的、基于Java的可扩展开发平台。就其本身而言，它只是一个框架和一组服务，用于通过插件组件构建开发环境。幸运的是，Eclipse 附带了一个标准的插件集，包括Java开发工具（Java Development Kit，JDK）。

Sublime Text 一个代码编辑器

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。