Apache DolphinScheduler高危漏洞（CVE-2020-11974）
来源：scanv2020.09.11一 漏洞概述
2020年9月11日，Apache软件基金会发布安全公告，修复了Apache DolphinScheduler远程执行代码漏洞（CVE-2020-11974）。
CVE-2020-11974与mysql connectorj远程执行代码漏洞有关，在选择mysql作为数据库时，攻击者可通过jdbc connect参数输入{“detectCustomCollations”:true，“ autoDeserialize”:true} 在DolphinScheduler 服务器上远程执行代码。
二 影响版本
Apache DolphinScheduler = 1.2.0、1.2.1
三 复现过程
无
四 影响范围
根据 ZoomEye 网络空间搜索引擎对关键字"Apache DolphinScheduler"进行搜索，共得到 174,734,060 条 IP 历史记录，集中分布在美国和德国。
五 修复建议
目前官方已在最新版本中修复了此次的漏洞，请受影响的用户尽快升级版本至1.3.2进行防护，官方下载链接：
https://dolphinscheduler.apache.org/zh-cn/docs/release/download.html
六 时间线
Apache软件基金会发布安全公告时间：2020年9月11日
知道创宇发布漏洞情报时间：2020年9月11日
七 相关链接
https://dolphinscheduler.apache.org/zh-cn/docs/release/download.html
ZoomEye 网络空间搜索引擎：
https://www.zoomeye.org/searchResult/report?q=Apache%20DolphinScheduler
热门文章
IBM官方发布WebSphere Application Server XXE漏洞（CVE-2020-4643）
2020年09月17日，IBM发布安全公告，WebSphere Application Server中存在一个安全漏洞，该漏洞是由于WebSphere Application Server在处理XML数据时容易受到XML外部实体注入（XXE）攻击。
FastAdmin远程代码执行0day漏洞（暂无编号）
2020年9月22日，FastAdmin远程代码执行漏洞细节曝光，黑客登录前台会员中心，即可远程GetShell，风险极大。
VMware官方发布Spring Framework反射型文件下载漏洞（CVE-2020-5421）
2020年9月17日，VMware发布安全公告，在Spring Framework版本5.2.0-5.2.8、5.1.0-5.1.17、5.0.0-5.0.18、4.3.0-4.3.28和较旧的不受支持的版本中，发现了一个存在于Spring Framework中的反射型文件下载（Reflected File Download,RFD）漏洞（CVE-2020-5421）。
关注知道创宇云安全
获取安全动态