Apache Pulsar 存在计时攻击漏洞(CVE-2023-51437)
CVE编号
CVE-2023-51437利用情况
暂无补丁情况
N/A披露时间
2024-02-07漏洞描述
Apache Pulsar是美国阿帕奇（Apache）基金会的一个用于云环境中，集消息、存储、轻量化函数式计算为一体的分布式消息流平台。Apache Pulsar SASL Authentication Provider是Pulsar用来实现SASL认证机制的组件。 SASL Authentication Provider在SaslRoleTokenSigner#verifyAndExtract中使用String.equals来比较签名，而equals方法的执行时间可能会根据比较的数据而变化，攻击者可以利用时间差异，推测签名的内容，进而伪造有效的签名绕过认证。此漏洞与CVE-2020-1926漏洞原理一致。 在修复版本中使用MessageDigest.isEqual(originalSignature.getBytes(), currentSignature.getBytes())避免计时攻击。解决建议
"将组件 Pulsar 升级至 3.1.1 及以上版本""将组件 Pulsar 升级至 3.0.2 及以上版本""将组件 org.apache.pulsar:pulsar-broker-auth-sasl 升级至 2.11.3 及以上版本""将组件 Pulsar 升级至 2.11.3 及以上版本""将组件 org.apache.pulsar:pulsar-broker-auth-sasl 升级至 3.1.1 及以上版本""将组件 org.apache.pulsar:pulsar-broker-auth-sasl 升级至 3.0.2 及以上版本"
参考链接 |
|
|---|---|
| http://www.openwall.com/lists/oss-security/2024/02/07/1 | |
| https://lists.apache.org/thread/5kgmvvolf5tzp5rz9xjwfg2ncwvqqgl5 |
- 攻击路径 网络
- 攻击复杂度 高
- 权限要求 无
- 影响范围 未更改
- 用户交互 无
- 可用性 无
- 保密性 高
- 完整性 高
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论