監(jiān)測到一則Apache ShardingSphere ElasticJob-UI 權(quán)限提升漏洞的信息,當(dāng)前官方已發(fā)布受影響的補(bǔ)丁。
對此,安識(shí)科技建議廣大用戶及時(shí)升級(jí)到安全版本,并做好資產(chǎn)自查以及預(yù)防工作,以免遭受黑客攻擊。
該漏洞是由于返回 token 中包含了管理員密碼,攻擊者可利用該漏洞在授權(quán)的情況下,構(gòu)造惡意數(shù)據(jù)執(zhí)行權(quán)限繞過攻擊,最終獲取服務(wù)器最高權(quán)限。
攻擊者可利用該漏洞在授權(quán)的情況下,構(gòu)造惡意數(shù)據(jù)執(zhí)行權(quán)限繞過攻擊,最終獲取服務(wù)器最高權(quán)限。
Apache ShardingSphere ElasticJob-UI <= 3.0.0
Apache ShardingSphere 的發(fā)布版包括源碼包及其對應(yīng)的二進(jìn)制包。 由于下載內(nèi)容分布在鏡像服務(wù)器上,所以下載后應(yīng)該進(jìn)行 GPG 或 SHA-512 校驗(yàn),以此來保證內(nèi)容沒有被篡改。
Apache ShardingSphere - 版本: 5.0.0 ( 發(fā)布日期: Nov 10th, 2021 )
源碼: [ SRC ] [ ASC ] [ SHA512 ]
ShardingSphere-JDBC 二進(jìn)制包: [ TAR ] [ ASC ] [ SHA512 ]
ShardingSphere-Proxy 二進(jìn)制包: [ TAR ] [ ASC ] [ SHA512 ]
全部版本
全部版本請到 Archive repository 查看。
全部孵化器版本請到 Archive incubator repository 查看。
校驗(yàn)版本
PGP簽名文件
使用 PGP 或 SHA 簽名驗(yàn)證下載文件的完整性至關(guān)重要。 可以使用 GPG 或 PGP 驗(yàn)證 PGP 簽名。 請下載 KEYS 以及發(fā)布的 asc 簽名文件。 建議從主發(fā)布目錄而不是鏡像中獲取這些文件。
或者
或者
要驗(yàn)證二進(jìn)制文件或源代碼,您可以從主發(fā)布目錄下載相關(guān)的 asc 文件,并按照以下指南進(jìn)行操作。
gpg --verify apache-shardingsphere-********.asc apache-shardingsphere-*********
或者
pgpv apache-shardingsphere-********.asc
或者
pgp apache-shardingsphere-********.asc