Apache Zeppelin shell 代码注入漏洞复现（CVE-2024-31861）

免责声明 由于传播、利用本CSDN所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任，一旦造成后果请自行承担！

一、产品介绍

Apache Zeppelin是一个开源的数据分析和可视化工具，它提供了一个交互式的笔记本界面，用户可以在其中编写和运行数据分析代码，并实时查看结果。

二、漏洞描述

在Apache Zeppelin 0.10.1 <= Apache Zeppelin < 0.11.1 中存在一个shell 代码注入漏洞，攻击者可利用Zeppelin 中的shell功能执行任意命令，升级后官方默认禁止shell interpreter。

三、漏洞危害

攻击者可利用Zeppelin 中的shell功能执行任意命令。

四、漏洞复现

环境搭建：

使用docker语句

docker run -d --name zeppelin -p 8888:8080 apache/zeppelin:0.10.1

访问http://127.0.0.1:8888