一 漏洞概述

Apache IoTDB 是针对时间序列数据收集、存储与分析一体化的数据管理引擎。它具有体量轻、性能高、易使用的特点，完美对接 Hadoop 与 Spark 生态，适用于工业物联网应用中海量时间序列数据高速写入和复杂分析查询的需求。

启动 IoTDB 时,在其配置文件中默认启用 JMX 监视服务并将对公网监听一个31999的 RMI 端口,且无需进行任何身份验证,配合 JMX RMI 将会导致远程代码执行。

建议广大用户及时安装最新补丁，做好资产自查以及预防工作，以免遭受黑客攻击。

二 影响版本

• Apache IoTDB v0.9.0-v0.9.1

• Apache IoTDB v0.8.0-v0.8.2

三 复现过程

暂无

四 修复建议

1.及时将 Apache IoTDB 升级到0.9.2版本：https://iotdb.apache.org/zh/Download/

2.临时解决方案：禁止31999的 RMI 端口对外开放

五 相关链接

1.IotDB 官方：https://iotdb.apache.org/zh/Download/