Apache ZooKeeper Admin Server 身份验证绕过漏洞

漏洞描述

Apache ZooKeeper 是开源的分布式应用程序协调服务，IPAuthenticationProvider 是其身份验证提供器，用于基于客户端 IP 地址进行身份验证。

受影响版本的 ZooKeeper Admin Server 使用 IPAuthenticationProvider 进行身份验证，由于其使用由代理服务器添加的 HTTP 请求头 X-Forwarded-For，攻击者可通过伪造 X-Forwarded-For 头中的 IP 地址，通过 Admin Server 的校验，使用特权命令。

修复版本中，通过通过引入 usexforwardedfor 配置选项并将其默认设置为关闭，以修复漏洞。

漏洞名称	Apache ZooKeeper Admin Server 身份验证绕过漏洞
漏洞类型	使用欺骗进行的认证绕过
发现时间	2024-11-07
漏洞影响广度	-
MPS编号	MPS-aqz5-s9mr
CVE编号	CVE-2024-51504
CNVD编号	-

影响范围

org.apache.zookeeper:zookeeper@[3.9.0, 3.9.3)

zookeeper@[3.9.0, 3.9.3)

修复方案

将组件 org.apache.zookeeper:zookeeper 升级至 3.9.3 及以上版本

将组件 zookeeper 升级至 3.9.3 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-aqz5-s9mr

https://www.mail-archive.com/announce@apache.org/msg09610.html

https://www.openwall.com/lists/oss-security/2024/11/06/4

https://issues.apache.org/jira/browse/ZOOKEEPER-4851

https://github.com/apache/zookeeper/commit/67037ad9087b4e554f77427e88d40df1eb19d6d3

https://github.com/apache/zookeeper/commit/bd5be58c562ce992de8af43cdef0bdb34261a525

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc