Apache ShardingSphere远程代码执行缝隙风险公告

颁布功夫 2020-03-11

缝隙编号和级别


CVE编号：：CVE-2020-1947，，，危险级别：：高危，，，CVSS分值：：官方未评定


影响版本


Apache ShardingSphere < 4.0.1


缝隙概述


Apache ShardingSphere是一套开源的散布式数据库中央件解决规划组成的生态圈，，，它由Sharding-JDBC、、Sharding-Proxy和Sharding-Sidecar（规划中）这3款相互独立，，，却又可能混合部署共同使用的产品组成。。。它们均提供尺度化的数据分片、、散布式事务和数据库治理职能，，，可合用于如Java同构、、异构说话、、云原生等各类多样化的利用场景。。。


Apache ShardingSphere存在远程代码执行缝隙，，，经过验证的攻击者能够通过提交肆意YAML代码实现远程代码执行。。。Apache ShardingSphere后盾的治理账号密码默认均为admin。。。


通过对Apache ShardingSphere代码分析，，，发现开发人员直接使用unmarshal步骤对输入的YAML直接进行解析，，，没有做校验。。。


OG东方厅·(中国大陆)


对比补丁发现新增ClassFilterConstructor来对此进行校验。。。


OG东方厅·(中国大陆)


缝隙验证


PoC:https://github.com/Imanfeng/CVE-2020-1947。。。


修复建议


目前官方已颁布最新版本修复该缝隙，，，建议用户尽快升级：：https://github.com/apache/incubator-shardingsphere/releases。。。


参考链接


https://github.com/apache/incubator-shardingsphere/releases