ASF基金会披露由腾讯云鼎实验室通报的高危漏洞

业界 来源：蓝点网 2024-12-29 05:39:53 阅读：609

这是近期 ASF 基金会披露的第三个安全问题，此次安全公告主要涉及 CVE-2024-45387 漏洞，该漏洞由腾讯云鼎安全实验室的研究人员报告。

漏洞位于 Apache Traffic Control 流量控制组件中，该组件可以建立内容分发网络即 CDN，实现快速高效地向用户交付内容。

CVE-2024-45387 漏洞 CVSS 评分为 9.9/10 分，若成功利用漏洞则攻击者可以在数据库中执行任意结构化查询语言命令 (即 SQL 命令)。

项目维护者在公告中表示：

Apache Traffic Control 8.0.0~8.0.1 版中的 Traffic Ops 中存在 SQL 注入漏洞，允许具有管理员、联合、操作、门户、指导角色的特权用户通过发送特制的 PUT 请求对数据库执行任意 SQL 命令。

使用该模块的用户应当立即升级到 8.0.2 版，该版本发布于 2024 年 10 月，到现在才披露漏洞就是为了避免有攻击者对新版本进行逆向从而发现漏洞并利用。