Apache Flink漏洞(CVE-2020-17519)漏洞通告
1. 漏洞类型：
| TAG： |
Apache、任意文件读取漏洞 |
| 危害等级： |
高 |
| 应急等级： |
黄色 |
2. 漏洞影响：
Apache Flink是由Apache软件基金会开发的开源流处理框架，其核心是用Java和Scala编写的分布式流数据流引擎。Flink以数据并行和流水线方式执行任意流数据程序，Flink的流水线运行时系统可以执行批处理和流处理程序。此外，Flink的运行时本身也支持迭代算法的执行。该漏洞是由于Apache Flink在受影响版本引入不安全的REST API接口，攻击者可利用漏洞在未授权的情况下，构造恶意数据执行任意文件读取或文件写入攻击，最终获取服务器敏感性信息或权限。
3. 受影响版本：
- Apache Flink 1.11.0
- Apache Flink 1.11.1
- Apache Flink 1.11.2
4. 漏洞解析：
检测工具：浏览器
使用以下URL进行检测是否存在CVE-2020-17519漏洞
http://IP:PORT/jobmanager/logs/../../../../../../etc/passwd
参数解释：在网站链接中里修改“IP”和“PORT”的数值
IP：被检测的主机的ipv4地址
PORT：被检测的主机的web访问端口
检测结果：
如图访问构造好的网站链接，被检测的应用如果返回系统的PASSWD文件，说明该被检测的应用存在CVE-2020-17519漏洞，如果没有返回系统PASSWD文件，则不存在CVE-2020-17519漏洞。
5. 防护建议：
当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。
6. 相关链接：
