ArangoDB命令執(zhí)行漏洞
- CNNVD編號(hào)：CNVD-2021-91632
- 危害等級(jí)： 中危
- CVE編號(hào)：CVE-2021-25940
- 漏洞類型： 通用型漏洞
- 威脅類型：未知
- 廠 商：未知
- 漏洞來源：國家信息安全漏洞共享平臺(tái)
- 發(fā)布時(shí)間：2021-11-29
- 更新時(shí)間：2021-11-29
漏洞簡(jiǎn)介
ArangoDB是一個(gè)原生多模型數(shù)據(jù)庫，兼有key/value鍵/值對(duì)、graph圖和document文檔數(shù)據(jù)模型，提供了涵蓋三種數(shù)據(jù)模型的統(tǒng)一的數(shù)據(jù)庫查詢語言，并允許在單個(gè)查詢中混合使用三種模型。
ArangoDB在3.7.6到3.8.3版本中存在一個(gè)命令執(zhí)行漏洞，容易受到Insufficient Session Expiration的影響，當(dāng)管理員更改用戶密碼時(shí)，會(huì)話不會(huì)失效，允許惡意用戶仍然登錄并在系統(tǒng)內(nèi)執(zhí)行任意操作。攻擊者成功利用該漏洞可以執(zhí)行任意命令。
漏洞公示
在發(fā)布漏洞公告信息之前，CNVD都力爭(zhēng)保證每條公告的準(zhǔn)確性和可靠性。然而，采納和實(shí)施公告中的建議則完全由用戶自己決定，其可能引起的問題和結(jié)果也完全由用戶承擔(dān)。是否采納我們的建議取決于您個(gè)人或您企業(yè)的決策，您應(yīng)考慮其內(nèi)容是否符合您個(gè)人或您企業(yè)的安全策略和流程。
參考網(wǎng)站
https://www.whitesourcesoftware.com/vulnerability-database/CVE-2021-25940
受影響實(shí)體
ArangoDB ArangoDB >=3.7.6，<=3.8.3
