Apache StreamPark Maven 构建参数命令注入漏洞

北京赛克艾威科技有限公司 2024-07-17

漏洞编号：CVE-2024-29737
漏洞等级：严重
漏洞标签：发布预警、公开漏洞
发布时间：2024-07-17

漏洞描述

Apache StreamPark 是一个开源流处理框架，主要用于大数据实时计算。受影响版本中对 Maven 的构建参数的安全校验正则不完善，未能匹配到 \`\` 和 $ 包裹的命令，攻击者可以在登录系统后插入要执行的命令，导致存在远程代码执行漏洞。修复版本中通过强化正则校验，在匹配到反引号或 $ 包裹的恶意命令时会返回匹配的内容而不执行该命令。