专栏首页实时计算「漏洞预警」Apache Flink 任意 Jar 包上传导致远程代码执行漏洞复现

「漏洞预警」Apache Flink 任意 Jar 包上传导致远程代码执行漏洞复现

漏洞描述

Apache Flink是一个用于分布式流和批处理数据的开放源码平台。Flink的核心是一个流数据流引擎,它为数据流上的分布式计算提供数据分发、通信和容错功能。Flink在流引擎之上构建批处理,覆盖本地迭代支持、托管内存和程序优化。近日有安全研究人员发现apache flink允许上传任意的jar包从而导致远程代码执行。

漏洞级别

高危

影响范围

Apache Flink <=1.9.1

漏洞复现

首先下载Apache Flink 1.9.1安装包并进行解压,之后进入bin文件夹内运行./start-cluster.sh启动环境,浏览器访问http://ip:8081验证是否成功,如下图所示:

接着使用生成jar的木马文件并进行上传,如下图所示:

开启msf进行监听并点击提交,可看到成功返回一个shell。如下图所示:

修复建议

建议用户关注Apache Flink官网,及时获取该漏洞最新补丁。

临时解决建议

设置IP白名单只允许信任的IP访问控制台并添加访问认证。

漏洞检测方法

目前github已有相应公开的检测poc,如下图所示:

链接:https://github.com/LandGrey/flink-unauth-rce

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • Flink,Storm,SparkStreaming性能对比

    该应用程序从 Kafka 消费广告曝光消息,从 Redis 查找每个广告对应的广 告宣传活动,并按照广告宣传活动分组,以 10 秒为窗口计算广告浏览量。 10 ...

    实时计算
  • Flink入门(三)——环境与部署

    flink是一款开源的大数据流式处理框架,他可以同时批处理和流处理,具有容错性、高吞吐、低延迟等优势,本文简述flink在windows和linux中安装步骤,...

    实时计算
  • 超越Storm,SparkStreaming——Flink如何实现有状态的计算

    Storm需要自己实现有状态的计算,比如借助于自定义的内存变量或者redis等系统,保证低延迟的情况下自己去判断实现有状态的计算,但是Flink就不需要这样,而...

    实时计算
  • Apache Flink 任意 Jar 包上传导致远程代码执行漏洞复现问题(漏洞预警)

    Apache Flink是一个用于分布式流和批处理数据的开放源码平台。Flink的核心是一个流数据流引擎,它为数据流上的分布式计算提供数据分发、通信和容错功能。...

    砸漏
  • 基于Flink+ClickHouse打造轻量级点击流实时数仓

    Flink和ClickHouse分别是实时计算和(近实时)OLAP领域的翘楚,也是近些年非常火爆的开源框架,很多大厂都在将两者结合使用来构建各种用途的实时平台,...

    大数据真好玩
  • No.9 - 第一章 启航 - 事件驱动型应用总结 | Flink 知其然,知其所以然

    本节对事件驱动型应用场景的 5 节课程进行了快速的总结,大家可以通过该节快速了解前面5节课程的概要内容,进而对事件驱动型应用有一个宏观认识。如果大家对某小节内容...

    开源社
  • Flink在新浪微博的在线机器学习和实时数据分析

    Flink Forward,给了我一个绝佳的机会,向全球 Apache Flink 社区介绍微博如何使用 Apache Flink 在我们的平台上运行实时数据处...

    后场技术
  • 你不知道的console.log

    对于前端开发者,使用console.log() 次数绝对很多,但是大部分人认识的 console 对象还不是很全面,其实深入了解这些后,你会发现给开发过程带来很...

    游魂
  • 【程序猿硬核科普】Chrome控制台的基本操作 | 谷歌浏览器控制台格式错乱解决方法

    写前端页面时候肯定用得到Chrome的控制台,在Console下调试各种bug是常有的事,话不多说,上干货。文末有彩蛋哦(*^▽^*)。

    浩Coding
  • Hadoop学习笔记—10.Shuffle过程那点事儿

      在第四篇博文《初识MapReduce》中,我们认识了MapReduce的八大步骤,其中在Reduce阶段总共三个步骤,如下图所示:

    Edison Zhou

扫码关注云+社区

领取腾讯云代金券