Apache Mesos 远程代码执行缝隙安全公告

颁布功夫 2019-07-09

缝隙编号和级别


CVE编号：：：CVE-2019-0204，危险级别：：：高危，CVSS分值：：：7.8


影响版本


受影响的版本


Apache Mesos 1.7.1
Apache Mesos 1.7
Apache Mesos 1.6.1
Apache Mesos 1.6
Apache Mesos 1.5.2
Apache Mesos 1.5.1
Apache Mesos 1.5
Apache Mesos 1.4.2
Apache Mesos 1.4.1

Apache Mesos 1.4


缝隙概述


Apache Mesos是美国阿帕奇（Apache）软件基金会的一套支持Hadoop、、、ElasticSearch和Spark等利用架构的开源群集治理软件。在root用户下运行的专门制作的Docker镜像能够覆盖容器运行时的init辅助二进制文件和/或Apache Mesos的号令执行法式。恶意行为者能够在主机上获得根级代码执行。因而，攻击者能够利用此问题在运行受影响的利用法式的用户的高低文中执行肆意代码。


缝隙验证


暂无POC/EXP。


修复建议


目前厂商已颁布升级补丁以修复缝隙，建议用户升级到最新版本。


参考链接


https://lists.apache.org/thread.html/b162dd624dc088cd634292f0402282a1d1d0ce853baeae8205bc033c@%3Cdev.mesos.apache.org%3E