CVE-2023-49109

RCE w Apache DolphinScheduler — zdalne wykonanie kodu bez uwierzytelnienia

CVSS 9.8v3.1pub. 2024-02-20upd. 2025-03-18

Apache DolphinScheduler w wersjach przed 3.2.1 zawiera podatność klasy RCE (Remote Code Execution) umożliwiającą nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnego kodu. Krytyczny wynik CVSS 9.8 wskazuje na bardzo wysokie ryzyko dla systemów orkiestracji zadań opartych na tym oprogramowaniu.

▸ Pokaż oryginał (EN)

Exposure of Remote Code Execution in Apache Dolphinscheduler. This issue affects Apache DolphinScheduler: before 3.2.1. We recommend users to upgrade Apache DolphinScheduler to version 3.2.1, which fixes the issue.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-94 (Improper Control of Generation of Code) polega na możliwości wstrzyknięcia i wykonania złośliwego kodu po stronie serwera. Atakujący może wywołać podatny mechanizm zdalnie, bez konieczności posiadania jakichkolwiek uprawnień ani interakcji ze strony użytkownika (wektor AV:N/AC:L/PR:N/UI:N). Szczegółowy mechanizm wyzwalania opisany jest w poprawce dostępnej w repozytorium projektu (pull request #14991).

Skutki

Pomyślne wykorzystanie podatności daje atakującemu pełną kontrolę nad systemem — możliwość odczytu i modyfikacji danych oraz zakłócenia dostępności usługi (C:H/I:H/A:H). W środowiskach produkcyjnych może to oznaczać kompromitację całej infrastruktury orkiestracji procesów i potoków danych.

Mitygacja

Należy niezwłocznie zaktualizować Apache DolphinScheduler do wersji 3.2.1, która zawiera poprawkę eliminującą podatność. Zalecenie pochodzi bezpośrednio od producenta.