【缝隙公告】Apache Storm 号令注入缝隙 (CVE-2021-38294)

颁布功夫 2021-11-15

0x00 缝隙概述

CVE     ID

CVE-2021-38294

时      间

2021-10-21

类      型

号令注入

等      级

严重

远程利用

是

影响领域


攻击复杂度

低

可用性

高

用户交互

 无

所需权限

无

PoC/EXP


在野利用


 

0x01 缝隙详情

image.png

2021年10月21日，，Apache Storm被公开披露存在一个号令注入缝隙（CVE-2021-38294），，其CVSS评分为9.8，，攻击者无需与用户交互即可远程利用此缝隙。。。

该缝隙是Nimbus Thrift服务器中的 Shell 号令注入缝隙，，存在于getTopologyHistory服务中，，攻击者能够通过向Nimbus服务器发送恶意制作的Thrift要求以在身份验证之前远程执行代码。。。

影响领域

Apache Storm 2.2.X < 2.2.1

Apache Storm 2.1.X < 2.1.1

Apache Storm 1.X < 1.2.4

 

0x02 措置建议

目前此缝隙已经修复，，建议将Apache Storm更新到以下版本之一：

Apache Storm 2.2.x： 2.2.1 或 2.3.0

Apache Storm 2.1.x：2.1.1

Apache Storm 1.x ：1.2.4

下载链接：

https://storm.apache.org/downloads.html

 

0x03 参考链接

https://lists.apache.org/thread/r5fe881f6ca883908b7a0f005d35115af49f43beea7a8b0915e377859@%3cuser.storm.apache.org%3e

https://seclists.org/oss-sec/2021/q4/44

https://nvd.nist.gov/vuln/detail/CVE-2021-38294

 

0x04 更新版本

版本

日期

批改内容

V1.0

2021-11-15

初次颁布

 

0x05 关于OG东方厅

OG东方厅简介

OG东方厅公司成立于1996年，，并于2010年6月23日在深交所中小板正式挂牌上市，，是国内最具实力的信息安全产品和安全治理平台、、安全服务与解决规划的领航企业之一。。。

公司总部位于北京市中关村软件园，，在全国各省、、市、、自治区设立分支机构六十多个，，占有覆盖全国的销售系统、、渠道系统和技术支持系统；并在华北、、华东、、西南和华南布局四大研发中心，，别离为北京研发总部、、上海研发中心、、成都研发中心和昭通研发中心。。。

多年来，，OG东方厅致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，，援手客户全面提升其IT基础设施的安全性和出产效力，，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。。。

 

关于OG东方厅

OG东方厅安全应急响应中心重要针对重要安全缝隙的预警、、跟踪和分享全球最新的威胁谍报和安全汇报。。。

关注以下公家号，，获取全球最新安全资讯：

image.png