【风险通告】XXL-JOB远程命令执行漏洞

尊敬的腾讯云客户：

您好，近日，接国家互联网应急中心报告，XXL-JOB存在远程命令执行漏洞。攻击者通过此漏洞可以向XXL-JOB的执行器下发系统命令，进而可导致服务器被入侵控制，构成信息泄漏和运行安全风险。

为避免您的业务受影响，腾讯云安全中心建议您及时修复。

漏洞名称

XXL-JOB远程命令执行漏洞

漏洞组件

XXL-JOB是一个轻量级分布式任务调度平台，支持通过web页面对任务进行操作，基于Java-spring boot框架开发，利用Maven依赖编译好，开箱即用

漏洞描述

攻击者通过此漏洞可以向XXL-JOB的执行器下发系统命令，进而可导致服务器被入侵控制，构成信息泄漏和运行安全风险。

修复建议

1、修改 xxl-job-admin 项目 application.properties 文件，配置对应的访问密钥：

xxl.job.accessToken=”XXX (XXX 替换为复杂的字符串);

2、修改 xxl-job-xxl-job-executor 项目 application.properties 文件，与 xxl-job-admin项目配置相同的 accessToken

3、不要直接将9999端口开放到公网，可以通过配置安全组限制只允许指定IP才能访问9999端口