阿里云
阿里云多端小程序中小企业获客首选
发表主题 回复主题
  • 7402阅读
  • 0回复

[安全漏洞公告专区]【漏洞公告】CVE-2017-12635/12636:Apache CouchDB 远程命令执行漏洞

级别: 论坛版主
发帖
241
云币
478
近期阿里威胁情报监控开源数据Apache CouchDB 于2017年11月7日发布新版本2.1.1 &1.7.0/1.7.1以修复两个远程命令执行高危漏洞,漏洞标号为:CVE-2017-12635/12636。 '/qy_7O  
1.7.0/1.7.1 ,(q] $eOZ  
具体详情如下:                                                                                                                                                        
漏洞编号: OcV,pJ  
CVE-2017-12635 (]cL5o9  
CVE-2017-12636 5B)&;[  
漏洞名称: j17h_ a;  
Apache CouchDB 远程命令执行漏洞 "[7-1}l  
官方评级: `,SL\\%u  
高危 RN 4?]8  
漏洞描述: %`k [xz  
CVE-2017-12635 &G_#=t&  
由于CouchDB基于Erlang的JSON解析器和基于JavaScript的JSON解析器的不同,可以在数据库中提交带有用于访问控制的角色的重复键的_users文档,包括表示管理用户的特殊情况_admin角色。 与CVE-2017-12636(远程执行代码)结合使用,可以使非管理员用户能够以数据库系统用户的身份访问服务上的任意shell命令。 LTS{[(%  
JSON解析器的差异会导致行为:如果JSON中有两个角色密钥可用,则第二个将用于授权文档写入,但第一个角色密钥用于新创建的用户的后续授权。 按照设计,用户不能分配己的角色。 该漏洞允许非管理员用户给自己的管理员权限。 !dwZ`D  
(rhlK} C  
"|I.j)  
CVE-2017-13090 2F*>&n&Db7  
CouchDB管理用户可以通过HTTP(S)配置数据库服务器。 一些配置选项包括操作系统级二进制文件的路径,随后由CouchDB启动。 这允许CouchDB管理员用户以CouchDB用户的身份执行任意shell命令,包括从公共互联网上下载和执行脚本。 {Ni]S$7  
漏洞利用条件和方式: Lqxh y s  
远程利用 '6vo#D9M  
PoC状态: h(yFr/  
未公开 kCD] &  
漏洞影响范围: .*YF{!R`h  
CouchDB 1.x and 2.x >?K=l]!(*  
不受影响: ?&9=f\/P  
2.1.1 或者 1.7.0/1以后版本 4>oM5Yf8  
漏洞检测: az![u)  
开发或运维人员检查是否使用了受影响版本范围内的Apache CouchDB,是否配置了强口令和网络访问控制策略 py7Zh%k  
漏洞修复建议(或缓解措施): YK{J"Kof  
1.公网Apache CouchDB实例 >3D1:0Sg  
  • 建议您升级到最新版
  • 使用ECS安全组或防火墙策略,限制CouchDB端口暴露在互联网,做好精细化网络访问控制策略;
  • 开启认证功能 ,建议不要使用默认账号口令,配置自定义账号和强口令,防止暴力破解攻击事件。
I)1ih  
2.内网Apache CouchDB实例 v@Eb[7Kq/1  
  • 使用ECS安全组或防火墙策略,限制CouchDB端口暴露在互联网,做好精细化网络访问控制;
  • 开启认证功能 ,建议不要使用默认账号口令,配置自定义账号和强口令,防止暴力破解攻击事件。
xltN-<n7  
情报来源: v`QDms,{  
Qq.$! $  
{1Cnrjw  
`XE>Td>Bs  
i[9gcL"  
)t+pwh!8  
,N:^4A  
!m:WoQ/  
Epp>L.?r  
oQh;lb  
kwUUvF7w  
7.VP7;jys  
$!. [R}  
sryA(V  
r3?8nQ$  
&Qda|  
,=CipL9]  
aWimg6q  
b+:mV7eX  
-w2^26 ax  
Gi-pi=#&cs  
"Cxj_V@\  
N)cODy([  
yB7si(,1>  
)G/=3;!  
'X+aYF }Ye  
L|APXy]>  
p&Nav,9x  
{BM:c$3@j  
gmu.8  
l+6@,TY1U  
YhglL!p C  
|mG;?>c)  
fXnTqKAfu6  
hU(  
JfJ ln[  
!-qk1+<h  
X)]>E]X  
6flO;d/v  
7.NL>:lu  
~hk!N!J\  
n}Thc6f3D  
|:(BI5&S  
n@@tO#!\  
vr47PM2al  
:/? Op  
 gHUW1E  
HSG9|}$  
AS0(NlV  
jc6~V$3  
WR.7%U';  
cQh{z8Bf?<  
L}8 }Pns?&  
,trh)ZZYW|  
YA8/TFu<_  
79Q,XRWh|  
{XhpxJ__  
*X|%H-Q:H`  
*Z"Kvj;>u  
<9=RLENmY"  
~U?vB((j!  
Rx%kAt2X  
TKw>eGe  
[ 此帖被正禾在2017-11-16 11:25重新编辑 ]
发表主题 回复主题
« 返回列表上一主题下一主题

限100 字节
批量上传需要先选择文件,再选择上传
 
验证问题: 阿里云官网域名是什么? 正确答案:www.aliyun.com
上一个 下一个
      ×
      全新阿里云开发者社区, 去探索开发者的新世界吧!
      一站式的体验,更多的精彩!
      通过下面领域大门,一起探索新的技术世界吧~ (点击图标进入)