Apache ShardingSphere远程代码执行缝隙风险公告
颁布功夫 2020-03-11缝隙编号和级别
CVE编号：CVE-2020-1947 ，，， ，，，危险级别：高危 ，，， ，，，CVSS分值：官方未评定
影响版本
Apache ShardingSphere < 4.0.1
缝隙概述
Apache ShardingSphere是一套开源的散布式数据库中央件解决规划组成的生态圈 ，，， ，，，它由Sharding-JDBC、Sharding-Proxy和Sharding-Sidecar（规划中）这3款相互独立 ，，， ，，，却又可能混合部署共同使用的产品组成。 。 。。。。它们均提供尺度化的数据吩飕、散布式事务和数据库治理职能 ，，， ，，，可合用于如Java同构、异构说话、云原生等各类多样化的利用场景。 。 。。。。
Apache ShardingSphere存在远程代码执行缝隙 ，，， ，，，经过验证的攻击者能够通过提交肆意YAML代码实现远程代码执行。 。 。。。。Apache ShardingSphere后盾的治理账号密码默认均为admin。 。 。。。。
通过对Apache ShardingSphere代码分析 ，，， ，，，发现开发人员直接使用unmarshal步骤对输入的YAML直接进行解析 ，，， ，，，没有做校验。 。 。。。。
对比补丁发现新增ClassFilterConstructor来对此进行校验。 。 。。。。
缝隙验证
PoC:https://github.com/Imanfeng/CVE-2020-1947。 。 。。。。
建复建议
目前官方已颁布最新版本建复该缝隙 ，，， ，，，建议用户尽快升级：https://github.com/apache/incubator-shardingsphere/releases。 。 。。。。
参考链接
https://github.com/apache/incubator-shardingsphere/releases
京公网安备11010802024551号