Apache DolphinScheduler w wersjach przed 3.2.1 zawiera podatność klasy RCE (Remote Code Execution) umożliwiającą nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnego kodu. Krytyczny wynik CVSS 9.8 wskazuje na bardzo wysokie ryzyko dla systemów orkiestracji zadań opartych na tym oprogramowaniu.
▸ Pokaż oryginał (EN)
Exposure of Remote Code Execution in Apache Dolphinscheduler. This issue affects Apache DolphinScheduler: before 3.2.1. We recommend users to upgrade Apache DolphinScheduler to version 3.2.1, which fixes the issue.
Podatność sklasyfikowana jako CWE-94 (Improper Control of Generation of Code) polega na możliwości wstrzyknięcia i wykonania złośliwego kodu po stronie serwera. Atakujący może wywołać podatny mechanizm zdalnie, bez konieczności posiadania jakichkolwiek uprawnień ani interakcji ze strony użytkownika (wektor AV:N/AC:L/PR:N/UI:N). Szczegółowy mechanizm wyzwalania opisany jest w poprawce dostępnej w repozytorium projektu (pull request #14991).
Pomyślne wykorzystanie podatności daje atakującemu pełną kontrolę nad systemem — możliwość odczytu i modyfikacji danych oraz zakłócenia dostępności usługi (C:H/I:H/A:H). W środowiskach produkcyjnych może to oznaczać kompromitację całej infrastruktury orkiestracji procesów i potoków danych.
Należy niezwłocznie zaktualizować Apache DolphinScheduler do wersji 3.2.1, która zawiera poprawkę eliminującą podatność. Zalecenie pochodzi bezpośrednio od producenta.
Apache DolphinScheduler we wszystkich wersjach przed 3.2.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HApache Dolphinscheduler
APPApache3.0.0 – 3.2.1 (bez)
Powiązane podatności
Nieprawidłowe domyślne uprawnienia w Apache DolphinScheduler
RCE w Apache DolphinScheduler — zdalne wykonanie kodu bez uwierzytelnienia
Apache DolphinScheduler — RCE przez brak walidacji parametrów wtyczki alert
Command injection w Apache DolphinScheduler — zarządzanie alertami
RCE w Apache DolphinScheduler przez MySQL Connector/J