Apache Flink Stateful Functions 存在 HTTP 标头注入漏洞(CVE-2023-41139)

CVE编号

CVE-2023-41139

利用情况

暂无

补丁情况

N/A

披露时间

2023-11-23
漏洞描述
Apache Flink 是开源、分布式流处理框架,Stateful Functions 是 Apache Flink 的一个模块,用于构建分布式、弹性的实时应用程序。
Apache Flink Stateful Functions 受影响版本中由于 nettyclient 模块未对 HTTP 标头中的 CRLF 序列正确校验,远程攻击者可发送包含恶意标头(如:%0d%0a)的 HTTP 请求进行响应拆分攻击,通过注入虚假登录表单等钓鱼内容,或恶意的 JavaScript 代码,窃取用户凭据或以用户身份执行恶意操作。
解决建议
"升级org.apache.flink:statefun-flink到 3.3.0 或更高版本"
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 autodesk autocad * Up to
(excluding)
2024.1
运行在以下环境
应用 autodesk autocad * From
(including)
2023.0.0
Up to
(excluding)
2023.1.4
运行在以下环境
应用 autodesk autocad * From
(including)
2024.0.0
Up to
(excluding)
2024.1.1
运行在以下环境
应用 autodesk autocad_advance_steel * Up to
(excluding)
2023.1.4
运行在以下环境
应用 autodesk autocad_advance_steel * From
(including)
2024.0.0
Up to
(excluding)
2024.1.1
运行在以下环境
应用 autodesk autocad_architecture * Up to
(excluding)
2023.1.4
运行在以下环境
应用 autodesk autocad_architecture * From
(including)
2024.0.0
Up to
(excluding)
2024.1.1
运行在以下环境
应用 autodesk autocad_civil_3d * Up to
(excluding)
2023.1.4
运行在以下环境
应用 autodesk autocad_civil_3d * From
(including)
2024.0.0
Up to
(excluding)
2024.1.1
运行在以下环境
应用 autodesk autocad_electrical * Up to
(excluding)
2023.1.4
运行在以下环境
应用 autodesk autocad_electrical * From
(including)
2024.0.0
Up to
(excluding)
2024.1.1
运行在以下环境
应用 autodesk autocad_lt * Up to
(excluding)
2023.1.4
运行在以下环境
应用 autodesk autocad_lt * Up to
(excluding)
2024.1
运行在以下环境
应用 autodesk autocad_lt * From
(including)
2024.0.0
Up to
(excluding)
2024.1.1
运行在以下环境
应用 autodesk autocad_map_3d * Up to
(excluding)
2023.1.4
运行在以下环境
应用 autodesk autocad_map_3d * From
(including)
2024.0.0
Up to
(excluding)
2024.1.1
运行在以下环境
应用 autodesk autocad_mechanical * Up to
(excluding)
2023.1.4
运行在以下环境
应用 autodesk autocad_mechanical * From
(including)
2024.0.0
Up to
(excluding)
2024.1.1
运行在以下环境
应用 autodesk autocad_mep * Up to
(excluding)
2023.1.4
运行在以下环境
应用 autodesk autocad_mep * From
(including)
2024.0.0
Up to
(excluding)
2024.1.1
运行在以下环境
应用 autodesk autocad_plant_3d * Up to
(excluding)
2023.1.4
运行在以下环境
应用 autodesk autocad_plant_3d * From
(including)
2024.0.0
Up to
(excluding)
2024.1.1
CVSS3评分
7.8
  • 攻击路径
    本地
  • 攻击复杂度
  • 权限要求
  • 影响范围
    未更改
  • 用户交互
  • 可用性
  • 保密性
  • 完整性
CWE-ID 漏洞类型
CWE-119 内存缓冲区边界内操作的限制不恰当
阿里云安全产品覆盖情况