【未授权漏洞】PowerJob未授权访问漏洞(CVE-2023-29922)

最新推荐文章于 2023-08-22 10:35:34 发布
最新推荐文章于 2023-08-22 10:35:34 发布
阅读量2.2k 收藏 1
点赞数 3
分类专栏： 漏洞复现 文章标签： PowerJob
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_46944519/article/details/131153850
版权

0x01 漏洞描述

PowerJob是一个开源分布式计算和作业调度框架，它允许开发人员在自己的应用程序中轻松调度任务。PowerJob V4.3.1版本存在安全漏洞，该漏洞源于存在不正确访问控制。

PowerJob 受影响版本中由于 JobController#listJobs 方法未对用户身份进行校验，攻击者可通过向 /job/list 接口发送POST请求，指定 appId 参数即可列出对应的正在运行的任务列表以及它们的状态信息。

0x02 影响版本

PowerJob <=4.3.2

0x03 脚本利用

FOFA： title= " PowerJob"
在这里插入图片描述
GitHub: https://github.com/1820112015/CVE-2023-29923

1、将目标资产放入url.txt
在这里插入图片描述

了解本专栏 订阅专栏 解锁全文 超级会员免费看
李火火安全阁
关注
  • 3
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
订阅专栏
CVE-2023-23752：Joomla未授权访问漏洞复现
薛定谔嘚喵博客
09-01 1569
Joomla是一个免费的开源内容管理系统（CMS），允许用户构建网站和在线应用程序。它于 2005 年首次发布，此后成为最受欢迎的 CMS 平台之一，为全球数百万个网站提供支持。 在 Joomla！ 4.0.0 到 4.2.7 中发现了一个问题。不正确地访问检查允许对 Web 服务终结点进行未经授权的访问。
PowerJob 未授权访问漏洞
afeng12345678的博客
07-31 493
PowerJob存在未授权访问漏洞，该漏洞源于powerjob-server\powerjob-server-starter\src\main\java\tech\powerjob\server\web\controller路径下的全部Controller层的Restful接口均未添加访问控制，导致攻击者无需身份认证即可获取系统敏感信息。
PowerJob 未授权访问导致命令执行漏洞
afeng12345678的博客
07-31 979
PowerJob的官方推荐组件powerjob-official-processors中存在命令执行漏洞，攻击者可未授权加载恶意shell脚本执行系统命令。
【中危】PowerJob 未授权访问漏洞 （CVE-2023-36106）
OSCS开源安全社区
08-22 349
墨菲安全是一家为您提供专业的软件供应链安全管理的科技公司，核心团队来自百度、华为、乌云等企业，公司为客户提供完整的软件供应链安全管理平台，围绕SBOM提供软件全生命周期的安全管理，平台能力包括软件成分分析、源安全管理、容器镜像检测、漏洞情报预警及商业软件供应链准入评估等多个产品。在 PowerJob 受影响版本中存在错误的访问控制漏洞。产品可以极低成本的和现有开发流程中的各种工具一键打通，包括 IDE、Gitlab、Bitbucket、Jenkins、Harbor、Nexus 等数十种工具无缝集成。
CVE-2023-37754 PowerJob 未授权访问导致远程代码执行漏洞
afeng12345678的博客
07-31 1510
PowerJob 是一款开源的分布式任务调度框架。由于 PowerJob 未对网关进行鉴权，4.3.3 及之前版本中，未经授权的攻击者可构造恶意的数据包远程执行任意代码。
【严重】PowerJob＜=4.3.3 远程代码执行漏洞
murphysec的博客
08-01 414
PowerJob 是一款开源的分布式任务调度框架。由于 PowerJob 未对网关进行鉴权，4.3.3 及之前版本中，未经授权的攻击者可向 /instance/detail 端点发送恶意构造的 instanceId 参数远程执行任意代码。PowerJob
OSCS开源安全周报第 56 期：Apache Airflow Spark Provider 任意文件读取漏洞
OSCS开源安全社区
08-21 1962
OSCS 社区共收录安全漏洞 3 个，公开漏洞值得关注的是 Apache NiFi 连接 URL 验证绕过漏洞(CVE-2023-40037)、PowerJob 未授权访问漏洞(CVE-2023-36106)、Apache Airflow Spark Provider 任意文件读取漏洞(CVE-2023-40272) 针对 NPM 、PyPI 仓库，共监测到 81 个不同版本的毒组件，其中 NPM 组件包 mall-front-babel-directive 等携带远控木马，该系列的组件包具有持续性威胁行为
PowerJob 继续踩坑,部分定时任务没有执行
天码星空
11-28 1537
既然已经配置了cron表达式, 而且状态已经开启, 那么下次触发时间为空的话,日志中应该给出明确的错误提示.否则,很难调查问题.
CVE-2023-6548 和 CVE-2023-65的Citrix Netscaler/ADC-13.0-92.21 最新补丁
01-19
针对CVE-2023-6548 和 CVE-2023-6549 的 NetScaler ADC 和 NetScaler Gateway 的漏洞补丁升级包 CVE-2023-6548 ：在管理接口上执行经过身份验证的（低特权）远程代码 CVE-2023-6549：拒绝服务 2、 强烈建议受影响...
Apache Superset 存在未授权访问漏洞(CVE-2023-27524)详细利用过程
nnn2188185的博客
05-03 2334
Apache Superset 是美国阿帕奇（Apache）基金会的一个数据可视化和数据探索平台。Apache Superset 2.0.1 版本及之前版本存在安全漏洞。攻击者利用该漏洞验证和访问未经授权的资源。
GitLab远程代码执行漏洞(CVE-2022-2992)处理
x10n9的博客
09-08 1880
该漏洞存在是由于未对GitHub中导入的API端点请求数据进行校验。经过身份认证的远程攻击者可通过发送特制的请求包最终在目标机器上执行任意代码。可以通过禁用 GitHub 导入来缓解。5.确认“GitHub”没有作为导入选项出现。4.在“导入源”下禁用“GitHub”选项。1.在浏览器窗口中，以任何用户身份登录。3.展开“可见性和访问控制”选项卡。1.点击“菜单”->“管理”。2.点击“设置”->“常规”。3.点击“新建项目/存储库”。2.点击顶部栏上的“+”。5.点击“保存更改”。4.点击“导入项目”。
CVE-2022-26923漏洞分析
wangluo12138的博客
02-01 623
CVE-2022-26923漏洞分析
CVE-2023-21839远程代码执行漏洞
刘家华(游戏开发)
05-01 1574
weblogic CVE-2023-21839、CVE-2023-21931、CVE-2023-21979远程代码执行漏洞复现。
cve-2022-26923漏洞复现+实战+踩坑记录
恒安嘉新66的博客
06-11 2758
一、描述cve-2022-26923域内权限提升漏洞，5月份以前的存在证书服务器的通杀域控管理员权限，危害巨大。 #域控漏洞 #域控证书漏洞
未授权访问漏洞测试方法及修复方案
热门推荐
weixin_42728957的博客
04-28 3万+
1、漏洞描述 未授权访问漏洞，是在攻击者没有获取到登录权限或未授权的情况下，不需要输入密码，即可通过输入网站控制台主页面地址或者不允许查看的连接便可进行访问，同时进行操作。 2、漏洞检测 通过抓包工具（burpsuite、fiddler等），将抓取到的功能链接，在其他浏览器进行打开。 3、修复方案： 加入用户身份认证机制或token验证，对系统的功能点增加权限控制。 <1> 采用Jav...
未授权访问漏洞总结
LuckySec
03-24 4949
前言：这篇文章主要收集一些常见的未授权访问漏洞。未授权访问漏洞可以理解为需要安全配置或权限认证的地址、授权页面存在缺陷导致其他用户可以直接访问从而引发重要权限可被操作、数据库或网站目录等敏感信息泄露。 0x01 未授权漏洞预览 Active MQ 未授权访问 Atlassian Crowd 未授权访问 CouchDB 未授权访问 Docker 未授权访问 Dubbo 未授权访问 Druid 未授权访问 Elasticsearch 未授权访问 FTP 未授权访问 Hadoop 未授权访问 JBoss 未授权访
cve-2023-44313漏洞
最新发布
02-03
CVE-2023-44313是一个安全漏洞，其涉及到某个特定软件或系统的代码中存在的问题。该漏洞可能导致攻击者利用该软件或系统的弱点，来执行恶意代码或获取未授权的访问权限。 对于CVE-2023-44313漏洞，它可能具有多种不同的影响。例如，攻击者可能能够通过利用该漏洞，绕过身份验证机制并访问系统中的敏感数据。此外，他们还可以执行未经授权的命令，使系统陷入不稳定状态，甚至导致系统崩溃。 为了解决CVE-2023-44313漏洞，软件或系统的开发者通常会发布一个安全更新或补丁程序。这个补丁会修复软件或系统中存在的漏洞，加强安全性并防止攻击者利用该漏洞。因此，作为用户，我们应该及时安装这些更新或补丁，以确保自己的系统免受该漏洞的影响。 此外，我们还可以采取其他一些措施来防止CVE-2023-44313漏洞的利用。例如，我们应该确保使用的软件和系统是最新版本，因为较旧的版本可能会存在已知的漏洞。此外，保持杀毒软件和防火墙的最新更新也是很重要的，因为它们可以帮助我们检测和阻止潜在的恶意活动。 总之，CVE-2023-44313漏洞是一个需要引起关注并及时处理的安全漏洞。通过安装最新的安全更新和补丁，以及保持软件和系统的最新版本，我们可以显著降低受到该漏洞攻击的风险。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

李火火安全阁

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值