【预警通报】关于Apache Flink存在高危漏洞的预警通报

近日，Apache官方发布Apache Flink任意文件上传（CVE-2020-17518）和任意文件读取（CVE-2020-17519）两个高危漏洞。利用上述漏洞，攻击者可进行目录穿越，读取任意文件或将文件上传至任意位置。

网络安全

01

漏洞情况

Apache Flink是由Apache软件基金会开发的开源流处理框架，核心是用Java和Scala编写的分布式流数据流引擎。在Apache Flink中，因存在文件上传API未对文件名进行过滤，恶意攻击者可通过JobManager调用REST API读取系统中任意文件。此外，恶意攻击者还可通过调用REST接口修改HTTP HEADER来进行任意文件上传。

02

影响范围

任意文件上传漏洞（CVE-2020-17518）：1.5.1 - 1.11.2；

任意文件读取漏洞（CVE-2020-17519）：1.11.0, 1.11.1, 1.11.2。

03

处置建议

Apache官方已发布修复链接修复此漏洞。请广大用户立即将Flink升级至1.11.3或1.12.0版本进行漏洞修复。

附件：参考链接：
https://flink.apache.org/downloads.html