「安全狗高危安全通告」Apache CouchDB 远程代码执行漏洞

近日，安全狗应急响应中心监测到，Apache CouchDB官方发布了安全通告，漏洞编号为CVE-2022-24706。可导致远程攻击者获得管理员权限等危害。

漏洞描述

Apache CouchDB数据库，它类似于Redis，Cassandra和MongoDB，也是一个NoSQL数据库。CouchDB将数据存储为非关系性的JSON文档。这使得CouchDB的用户可以以与现实世界相似的方式来存储数据。

据Apache发布的官方描述，Apache CouchDB远程代码执行漏洞，是由CouchDB默认安装配置存在缺陷，最终可导致攻击者通过访问特定端口，绕过权限校验并获得管理员权限。

安全通告信息

官方安全建议

安装最新版本

CouchDB官方建议在所有CouchDB安装前设置防火墙。完整的CouchDB api在注册的端口5984上可用，这是单节点安装需要公开的唯一端口。不将单独的分发端口暴露给外部访问的安装不易受到攻击。

CouchDB 3.2.2及更高版本将强制修改默认的Erlang cookie值，并将所有CouchDB分发端口绑定到`127.0.0.1`或`::1`，来缓解此问题。

请评估业务是否受影响后，酌情升级至安全版本

备注：建议您在升级前做好数据备份工作，避免出现意外

参考连接：

https://lists.apache.org/thread/w24wo0h8nlctfps65txvk0oc5hdcnv00

https://www.mail-archive.com/announce@apache.org/msg07264.html