【误差通告】Apache CouchDB远程代码执行误差（CVE-2022-24706）

宣布时间 2022-04-27


0x00 误差概述

CVE   ID

CVE-2022-24706

发明时间

2022-04-26

类    型

代码执行

等    级

严重

远程使用

是

影响规模


攻击重漂后


用户交互


PoC/EXP


在野使用


 

0x01 误差详情

Apache CouchDB 是一个开源的无缝多主同步数据库，，，使用直观的HTTP/JSON API，，，并为可靠性而设计。。。。。

4月26日，，，Apache宣布清静通告，，，果真了Apache CouchDB中的一个远程代码执行误差（CVE-2022-24706）。。。。。在3.2.2 版本之前的 Apache CouchDB 中，，，可以在不举行身份验证的情形下会见不准确的默认装置并获得治理员权限：

1.    CouchDB 翻开一个随机网络端口，，，绑定到所有可用的接口以预期集群操作或runtime introspection，，，称为 "epmd "的适用程序向网络宣布了这个随机端口。。。。。epmd自己在一个牢靠的端口上监听。。。。。

2.    CouchDB包装之前为单节点和集群装置选择了一个默认的"cookie "值，，，该cookie用于验证Erlang 节点之间的任何通讯。。。。。

CouchDB官方建议在所有CouchDB装置前设置防火墙。。。。。完整的CouchDB api在注册的端口5984上可用，，，这是单节点装置需要果真的唯一端口。。。。。不将单独的分滥觞口袒露给外部会见的装置不易受到攻击。。。。。


影响规模

Apache CouchDB < 3.2.2

 

0x02 清静建议

现在此误差已经修复，，，建议受影响用户实时升级更新到Apache CouchDB 3.2.2或更高版本。。。。。

下载链接：

https://couchdb.apache.org/

注：CouchDB 版本>= 3.2.2中将不再使用以前默认的Erlang cookie值`monster'，，，升级到此版本的装置将被迫选择差别的值。。。。。

别的，，，所有二进制包都已更新，，，以绑定`epmd`以及CouchDB分滥觞口划分为`127.0.0.1`和/或`::1`。。。。。

 

0x03 参考链接

https://www.mail-archive.com/announce@apache.org/msg07264.html

https://www.openwall.com/lists/oss-security/2022/04/26/1

https://docs.couchdb.org/en/stable/setup/cluster.html


0x04 版本信息

版本

日期

修改内容

V1.0

2022-04-27

首次宣布

 

0x05 附录

人生就是博简介

人生就是博公司建设于1996年，，，并于2010年6月23日在深交所中小板正式挂牌上市，，，是海内极具实力的、拥有完全自主知识产权的网络清静产品、可信清静治理平台、清静效劳与解决计划的综合提供商。。。。。

公司总部位于北京市中关村软件园，，，在天下各省、市、自治区设有分支机构，，，拥有笼罩天下的渠道系统和手艺支持中心，，，并在北京、上海、成都、广州、长沙、杭州等多地设有研发中心。。。。。

多年来，，，人生就是博致力于提供具有国际竞争力的自主立异的清静产品和最佳实践效劳，，，资助客户周全提升其IT基础设施的清静性和生产效能，，，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲。。。。。


关于人生就是博

人生就是博清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告。。。。。

关注以下公众号，，，获取全球最新清静资讯：

image.png