欢迎您来到腾讯云!积分商城

腾讯云腾讯云论坛

 找回密码
 立即注册
忘了密码?

扫一扫,访问微社区

快捷导航
搜索
查看: 3242|回复: 0

[安全通知] 关于Apache CouchDB 远程代码执行漏洞通知

[复制链接]

219

主题

0

好友

1万

积分

腾讯云论坛管理组

Rank: 20Rank: 20

云币
33930
威望
13983
发表于 2017-11-16 15:52:36 |显示全部楼层
尊敬的腾讯云客户:
   您好,近日,腾讯云安全中心监测到Apache CouchDB官方发布了新版本2.1.1以及1.7.0/1.7.1,新版本主要修复2个安全漏洞(漏洞编号:CVE-2017-12635,CVE-2017-12636),攻击者可利用该漏洞进行远程代码执行
       为避免您的业务受影响,腾讯云安全中心建议您及时开展安全自查,如在受影响范围,请您及时进行更新修复,避免被外部攻击者入侵。

【漏洞详情】
   CVE-2017-12635:由于CouchDB基于Erlang和JavaScript的JSON解析器不同,导致可以在数据库中以数据库访问角色身份提交重复键的_users文档(包含类似_admin 的管理员用户),结合CVE-2017-12636漏洞,攻击者可以以非管理账户的身份执行任意数据库系统用户权限shell命令。
   CVE-2017-12636:CouchDB管理用户可以通过HTTP(S)的方式来对数据库服务器进行配置, 其中部分配置选项包括操作系统级二进制文件的启动路径,配置后会与CouchDB一同启动。 该功能允许CouchDB管理员用户以CouchDB普通用户的身份执行任意shell命令,如从互联网上下载和执行脚本。

【风险等级】
  高风险

【漏洞风险】
   远程代码执行

【影响版本】
   目前已知受影响版本如下:
   Apache CouchDB 1.x 以及2.x 版本

【安全版本】
  1)Apache CouchDB 2.1.1
  2)Apache CouchDB 1.7.0/1.7.1

【修复建议】
【推荐解决方案】:目前官方已经发布新版本修复了以上漏洞,建议您参照上述【安全版本】升级到对应的最新版本,下载链接:https://blog.couchdb.org/2017/11/07/2-1-1-1-7-0/

【临时解决方案】
    1)端口访问控制:如果您的CouchDB可以不用对公网开放,建议您通过配置安全组策略禁止外部访问,如果必须要对外开放进行管理,建议您限制可以访问的源IP,避免攻击者进行恶意利用;
    2)配置安全加固:建议在部署CouchDB后,及时进行配置加固,如配置“认证”功能,修改默认账号口令为复杂度较高的账号口令。


【漏洞参考】
   1)https://blog.couchdb.org/2017/11/14/apache-couchdb-cve-2017-12635-and-cve-2017-12636/
   2)https://justi.cz/security/2017/11/14/couchdb-rce-npm.html



2017/11/16
您需要登录后才可以回帖 登录 | 立即注册
您需要登录后才可以发帖 QQ登录

联系我们|腾讯云平台|积分商城|腾讯云官方论坛    

GMT+8, 2018-12-17 05:10 , Processed in 1.136877 second(s), 30 queries .

Powered by Discuz! X2.5

© 2001-2012 Comsenz Inc.

回顶部