Apache Zeppelin 命令执行漏洞复现(CVE-2024-31861)

0x01 产品简介

Apache Zeppelin 是一个让交互式数据分析变得可行的基于网页的开源框架,Zeppelin提供了数据分析、数据可视化等功能,

0x02 漏洞概述

Apache Zeppelin 中代码生成控制不当("代码注入")漏洞。攻击者可以使用 Shell解释器作为代码生成网关,系统org.apache.zeppelin.shell.ShellInterpreter类直接调用/sh来执行命令,没有进行过滤,导致RCE漏洞。

0x03 影响范围

0.10.1 <= Apache Zeppelin < 0.11.1

0x04 复现环境

FOFA:app="APACHE-Zeppelin"

0x05 漏洞复现

访问首页创建一个测试note

输入命令执行即可

0x06 修复建议

升级至最新版本。

利用安全组设置其仅对可信地址开放。

进行安全更新方法:

https://github.com/apache/zeppelin/tags

相关推荐
安全系统学习4 小时前
【网络安全】Mysql注入中锁机制
安全·web安全·网络安全·渗透测试·xss
深圳安锐科技有限公司7 小时前
深圳安锐科技发布国内首款4G 索力仪!让斜拉桥索力自动化监测更精准高效
运维·安全·自动化·自动化监测·人工监测·桥梁监测·索力监测
潘锦8 小时前
海量「免费」的 OPENAI KEY,你敢用吗?
安全·openai
冰橙子id8 小时前
linux系统安全
linux·安全·系统安全
上海锝秉工控9 小时前
防爆拉线位移传感器:工业安全的“隐形守护者”
大数据·人工智能·安全
你不知道我是谁?11 小时前
AI 应用于进攻性安全
人工智能·安全
薄荷椰果抹茶12 小时前
【网络安全基础】第一章---引言
安全·网络安全
zskj_zhyl13 小时前
智绅科技:以科技为翼,构建养老安全守护网
人工智能·科技·安全
zsq13 小时前
【网络与系统安全】域类实施模型DTE
网络·安全·系统安全
缘友一世16 小时前
网安系列【4】之OWASP与OWASP Top 10:Web安全入门指南
安全·web安全