跳到主要内容

高危

Apache Flink任意文件读取漏洞

2021-01-05 11:40:14 公开 ，2025-10-22 00:27:21 更新

  • CISA KEV
  • 关键漏洞
  • APT漏洞
  • 远程
  • 公开PoC
  • 无需认证
  • CWE Top 25 (2023)
  • 开源组件漏洞
  • 2024两高一弱互联网漏洞
  • 2025两高一弱漏洞
CWEs：
CWE-552 （Files or Directories Accessible to External Parties）
SSVC：
可利用状态：已被积极利用攻击自动化：是技术影响评估：部分 2024-05-24 21:06:18

风险信息

CVSS v2 向量
AV:N/AC:L/Au:N/C:P/I:N/A:N
CVSS v2 风险值
5
CVSS v3 向量
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS v3 风险值
7.5
CVSS v3.1 向量
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS v3.1 风险值
7.5

详细信息

漏洞类型
其他
漏洞描述
Apache Flink是美国阿帕奇软件（Apache）基金会的一款开源的分布式流数据处理引擎。该产品主要使用Java和Scala语言编写。Apache Flink版本 1.11.0 至版本1.11.2 存在安全漏洞，该漏洞允许攻击者通过JobManager进程的REST接口读取JobManager本地文件系统上的任何文件。
修复建议
升级至Apache网站上提供的Apache Flink的最新版本（1.11.3、1.12.0或更高版本）： https://lists.apache.org/thread.html/r6843202556a6d0bce9607ebc02e303f68fc88e9038235598bde3b50d@%3Cuser.flink.apache.org%3E

参考链接