Apache DolphinScheduler<3.2.2 远程代码执行漏洞

北京赛克艾威科技有限公司 2024-08-20

漏洞编号：CVE-2024-43202
漏洞等级：高危
漏洞标签：发布预警、公开漏洞
发布时间：2024-08-20

漏洞描述

Apache Dolphinscheduler 是开源的分布式任务调度系统。受影响版本中，由于 HttpTaskDefinitionParser 类未对用户可控的 yaml 文件有效过滤，当解析攻击者构造的恶意配置文件\(如执行Kubernetes Job\)时会造成SnakeYaml反序列化漏洞，攻击者可利用该漏洞远程执行任意代码。

修复建议

1. 将组件 dolphinscheduler 升级至 3.2.2 及以上版本 2. 将组件 org.apache.dolphinscheduler:dolphinscheduler-task-api 升级至 3.2.2 及以上版本 3. 将组件 org.apache.dolphinscheduler:dolphinscheduler-common 升级至 3.2.2 及以上版本