聯(lián)系人：李女士
座機(jī)：010-59433750
手機(jī)：15313878231
郵 箱：angelals@secspace.com
地 址：北京市海淀區(qū)金碼大廈B座2328
CVE-2024-45387：針對(duì) Apache Traffic Control 中的關(guān)鍵 SQL 注入發(fā)布了 PoC
譯文聲明
本文是翻譯文章，文章原作者 do son，文章來(lái)源：securityonline
譯文僅供參考，具體內(nèi)容表達(dá)以及含義原文為準(zhǔn)。
安全研究人員 Abdelrhman Zayed 與 Mohamed Abdelhady 合作發(fā)布了針對(duì) CVE-2024-45387 的概念驗(yàn)證 (PoC) 漏洞利用代碼，這是 Apache Traffic Control 中的一個(gè)關(guān)鍵 SQL 注入漏洞。該漏洞的 CVSS 得分接近最高值 9.9（滿分 10 分），表明一旦被利用，將可能造成重大損失。
根據(jù) ASF 的公告，CVE-2024-45387 存在于 Apache Traffic Control 8.0.0 至 8.0.1 版本的 Traffic Ops 模塊中。它允許具有 “admin”、“federation”、“operations”、“portal ”或 “steering ”等角色的特權(quán)用戶通過(guò)發(fā)送特制的 PUT 請(qǐng)求，對(duì)數(shù)據(jù)庫(kù)執(zhí)行任意 SQL 命令。
項(xiàng)目維護(hù)者強(qiáng)調(diào)了該問(wèn)題的嚴(yán)重性： “在 Apache Traffic Control <= 8.0.1、>= 8.0.0 中的 Traffic Ops 中存在一個(gè) SQL 注入漏洞，允許特權(quán)用戶通過(guò)發(fā)送特制的 PUT 請(qǐng)求對(duì)數(shù)據(jù)庫(kù)執(zhí)行任意 SQL。”
攻擊者可利用此漏洞篡改敏感數(shù)據(jù)庫(kù)內(nèi)容、破壞系統(tǒng)完整性或外泄重要數(shù)據(jù)。
該漏洞由騰訊云鼎安全實(shí)驗(yàn)室的袁洛發(fā)現(xiàn)并報(bào)告。ASF 團(tuán)隊(duì)及時(shí)發(fā)布了補(bǔ)丁版本 Apache Traffic Control 8.0.2，解決了這一漏洞。
研究人員 Abdelrhman Zayed 和 Mohamed Abdelhady 在 GitHub 上發(fā)布了針對(duì) CVE-2024-45387 的概念驗(yàn)證 (PoC) 漏洞利用程序，這進(jìn)一步增加了該漏洞的緊迫性。PoC 的發(fā)布可能會(huì)加速惡意行為者利用未打補(bǔ)丁系統(tǒng)的嘗試。
Apache Traffic Control 是 CDN 的強(qiáng)大開(kāi)源實(shí)現(xiàn)，可實(shí)現(xiàn)高效、可擴(kuò)展的內(nèi)容交付。它于 2018 年 6 月被 ASF 認(rèn)定為頂級(jí)項(xiàng)目，被廣泛用于管理和優(yōu)化網(wǎng)絡(luò)流量。
CVE-2024-45387的PoC漏洞已經(jīng)流傳開(kāi)來(lái)，其CVSS評(píng)分接近滿分，對(duì)使用Apache流量控制的企業(yè)來(lái)說(shuō)是一個(gè)重大威脅。及時(shí)打補(bǔ)丁和強(qiáng)大的訪問(wèn)控制對(duì)于最大限度地降低利用風(fēng)險(xiǎn)至關(guān)重要。