Apache HugeGraph 漏洞的利用可免费获取

管理员需要紧急更新，因为漏洞只会增加失去服务器和数据控制的风险。

SecureLayer7 专家对流行的图形数据库 Apache HugeGraph 中的漏洞进行了详细分析，该数据库允许远程代码执行 (RCE)。

详细分析 阿帕奇 远程代码执行

CVE-2024-27348（CVSS 评分：9.8）在 HugeGraph-Server 版本 1.0.0 至 1.3.0 中被识别。漏洞利用是通过绕过沙箱限制并使用特制的 Gremlin 命令执行远程代码来完成的。

CVE-2024-27348

Gremlin 命令利用 SecurityManager 反射过滤中的缺陷，使攻击者能够完全控制服务器。该攻击提供了窃取机密数据、监视内部网络、部署勒索软件和其他恶意活动的可能性。

Apache HugeGraph 允许开发人员基于图形数据库构建应用程序，通常在 Java 8 和 Java 11 环境中使用。所发现的漏洞损害了许多使用 Apache HugeGraph 的组织。

4月份，当该问题首次被披露时，Apache软件基金会强烈建议用户更新到1.3.0版本并启用身份验证系统来解决该缺陷。为了提高安全性，还建议启用“白名单-IP/端口”功能，以提高RESTful-API执行的安全性。

问题首次被披露，

自从 PoC 漏洞利用变得可用以来，该漏洞被利用的可能性显着增加。 bughunter Milan Jovic 提供的漏洞之一允许未经身份验证的攻击者在易受攻击的版本上执行命令。另一位开发人员 Zeyad Azima 发布了一款 Python 扫描器，该扫描器虽然出于道德目的，但也可以更轻松地找到易受攻击的 HugeGraph 实现。

PoC 允许 已发布