0day预警：亿格云向Apache上报高危命令执行漏洞CVE-2023-46226

Apache IoTDB（物联网数据库）是一体化收集、存储、管理与分析物联网时序数据的软件系统。 Apache IoTDB 采用轻量式架构，具有高性能和丰富的功能，并与Apache Hadoop、Spark和Flink等进行了深度集成，可以满足工业物联网领域的海量数据存储、高速数据读取和复杂数据分析需求。

2023-10-11，亿格云安全研究员向Apache官方报送了远程代码执行漏洞（CVE-2023-46226），攻击者能够利用该漏洞获取服务器权限。近日官方发布新版本修复了该漏洞，影响版本较多，建议尽快修复漏洞。

解决方案

该漏洞影响Apache IoTDB 1.0.0 到 1.2.2 版本，请及时更新版本到 1.3.0 以修复此漏洞。

漏洞详情

亿格云安全团队研究发现，在IoTDB中使用JEXL来扩展UDF功能，并且未对JEXL表达式本身进行任何限制，当攻击者使用构造恶意的lamada表达式进行数据处理的时候，将会导致任意代码执行。目前已将该漏洞上报给Apache官网，得到官方的致谢和修复，并申请了CVE-2023-46226进行标记和跟踪该问题。

时间线

2023年10月 亿格云向Apache上报相关漏洞。

2024年1月 官方修复漏洞。