Apache InLong updateAuditSource方法命令注入漏洞

漏洞描述

Apache InLong 是开源的数据集成框架，Audit source 是对 Agent、DataProxy、Sort 模块的入流量、出流量进行实时审计，并将审计数据写到 MySQL、Elasticsearch、ClickHouse中的一个子系统。

Apache InLong 1.5.0至1.9.0版本中，由于 updateAuditSource 方法未对用户可控的参数有效过滤，攻击者可在更新 Audit source 时传入恶意的 Audit source URL 导致远程执行任意代码。

漏洞名称	Apache InLong updateAuditSource方法命令注入漏洞
漏洞类型	代码注入
发现时间	2024-01-03
漏洞影响广度	小
MPS编号	MPS-81gu-tekl
CVE编号	CVE-2023-51784
CNVD编号	-

影响范围

org.apache.inlong:manager-web@[1.5.0, 1.10.0)

org.apache.inlong:manager-pojo@[1.5.0, 1.10.0)

修复方案

将 org.apache.inlong:manager-web 升级至 1.10.0 及以上版本

将组件 org.apache.inlong:manager-pojo 升级至 1.10.0 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-81gu-tekl

https://nvd.nist.gov/vuln/detail/CVE-2023-51784

https://github.com/apache/inlong/issues/9328

https://github.com/apache/inlong/commit/1edaf8bb1113cfb90cd451a0830caa15d9ff08b9

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc