Apache Nutch 外部實(shí)體注入漏洞
- CNNVD編號(hào)：未知
- 危害等級(jí)： 高危
- CVE編號(hào)：CVE-2021-23901
- 漏洞類型： 外部實(shí)體注入
- 威脅類型：遠(yuǎn)程
- 廠 商：未知
- 漏洞來(lái)源：深信服
- 發(fā)布時(shí)間：2021-01-28
- 更新時(shí)間：2021-01-28
漏洞簡(jiǎn)介
1、組件介紹
Apache Nutch是一個(gè)用Java編寫的開(kāi)源網(wǎng)絡(luò)爬蟲(chóng)。通過(guò)它，可以自動(dòng)地找到網(wǎng)頁(yè)中的超鏈接，從而極大地減輕了維護(hù)工作的負(fù)擔(dān)，例如檢查那些已經(jīng)斷開(kāi)了的鏈接，或是對(duì)所有已經(jīng)訪問(wèn)過(guò)的網(wǎng)頁(yè)創(chuàng)建一個(gè)副本以便用于搜索。
2、漏洞描述
近日，深信服安全團(tuán)隊(duì)監(jiān)測(cè)到一則Apache Nutch組件存在 XXE外部實(shí)體注入漏洞的信息，漏洞編號(hào)：CVE-2021-23901，漏洞危害：中危。該漏洞是由于org.apache.nutch.tools.DmozParser類未對(duì)傳入的數(shù)據(jù)嚴(yán)格過(guò)濾，攻擊者可利用該漏洞構(gòu)造惡意數(shù)據(jù)執(zhí)行XXE攻擊，最終查看應(yīng)用程序服務(wù)器文件系統(tǒng)上的文件，并與應(yīng)用程序本身可以訪問(wèn)的任何后端或外部系統(tǒng)進(jìn)行交互。
漏洞公示
搭建Apache Nutch組件1.17版本環(huán)境，復(fù)現(xiàn)該漏洞，效果如下：
參考網(wǎng)站
暫無(wú)
受影響實(shí)體
Apache Nutch 作為一個(gè)開(kāi)源Java實(shí)現(xiàn)的搜索引擎，它提供了我們運(yùn)行自己的搜索引擎所需的全部工具，包括全文搜索和Web爬蟲(chóng)，在全球有大量使用，可能受漏洞影響的資產(chǎn)廣泛分布于世界各地，中國(guó)大陸省份中，浙江、北京、廣東等省市占比接近 70%。
目前受影響的Apache Nutch 版本：
Apache Nutch <= 1.17
補(bǔ)丁
當(dāng)前官方已發(fā)布最新版本，建議受影響的用戶及時(shí)更新升級(jí)到最新版本。鏈接如下：
