CVE-2024-24780 安全研究报告

CVE-2024-24780是Apache IoTDB中的严重远程代码执行漏洞。

攻击者可通过不受信任的URI注册恶意函数，影响版本1.0.0至1.3.3。

CVSS评分为9.8，修复版本为1.3.4及以上。

漏洞允许具有UDF创建权限的攻击者在目标服务器上执行任意代码。

漏洞影响范围广，实际危害极严重，可能导致完全服务器控制。

Apache IoTDB是一个专为物联网场景设计的高性能时序数据库管理系统。

IoTDB支持三种类型的用户定义函数（UDF）：标量函数、聚合函数和表值函数。

UDF的部署方式包括本地部署和远程部署，后者是漏洞利用的关键点。

Java的类加载机制是理解此漏洞的关键，静态初始化块在类加载时自动执行。

IoTDB在设计UDF URI加载功能时存在信任边界缺失，导致安全隐患。

漏洞生命周期长达四年，影响所有1.x版本，修复过程经历了多次讨论和开发。

受影响的行业包括电力、航空航天、工业制造等，风险等级从中到高不等。

攻击者可以通过多种方式利用此漏洞，包括内部威胁和外部攻击。

攻击链包括侦察、武器化、投送、利用、安装、命令与控制和目标达成。

攻击成本极低，潜在收益高，攻击者可通过数据窃取和勒索获利。

实验环境搭建要求包括硬件和软件配置，确保隔离测试网络。