Apache StreamPark 存在 SQL 注入漏洞

漏洞描述

Apache StreamPark 是一个开源流处理框架，主要用于大数据实时计算。

受影响版本中，用户可以通过自定义字段对 streampark-console 的列表页面进行排序，由于该字段用于生成 SQL 查询且未经检查，拥有登陆权限的攻击者可通过该漏洞获取敏感信息。

修复版本中，通过新增 checkField 方法来检查排序字段以修复漏洞。

漏洞名称	Apache StreamPark 存在 SQL 注入漏洞
漏洞类型	SQL注入
发现时间	2024-07-16
漏洞影响广度	-
MPS编号	MPS-9rcu-3bad
CVE编号	CVE-2023-52290
CNVD编号	-

影响范围

org.apache.streampark:streampark-console-service@[2.0.0, 2.1.3)

streampark@[2.0.0, 2.1.3)

修复方案

将组件 org.apache.streampark:streampark-console-service 升级至 2.1.3 及以上版本

将组件 streampark 升级至 2.1.3 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-9rcu-3bad

https://www.openwall.com/lists/oss-security/2024/07/15/4

https://github.com/apache/incubator-streampark/commit/225037f4980a6107611e163f304ed0fb96380a5d

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc