Apache Flink CVE-2020-17518：远程文件写入漏洞分析

"Apache Flink的CVE-2020-17518是一个严重的安全漏洞，它允许远程攻击者通过REST API进行目录遍历，从而实现任意文件写入。此漏洞影响Apache Flink的1.5.1至1.11.2版本。攻击者可以通过构造特殊的HTTP请求头来将文件写入到服务器的任意位置。复现此漏洞的实验环境可以使用Vulhub搭建，通过发送特定的POST请求来触发漏洞。虽然服务器会返回400错误，但文件实际上已经成功上传。此外，此漏洞还可以与CVE-2020-17519结合，利用文件读取漏洞来验证文件是否已写入。" Apache Flink是一款流行的大数据流处理框架，其在2020年被发现存在一个严重的安全问题，即CVE-2020-17518。这个漏洞是由于在Flink 1.5.1版本中引入的REST API设计缺陷导致的。攻击者能够通过构造带有恶意路径的HTTP请求头，执行目录遍历操作，从而在服务器的本地文件系统上任意位置写入文件。这种行为可能导致敏感信息泄露、系统权限提升甚至完全控制受影响的Flink实例。 漏洞分析指出，攻击者需要发送一个POST请求到/jars/upload端点，同时在Content-Disposition字段中包含一个恶意的文件名，如“../../../../..//tmp/test”。即使服务器返回了400 Bad Request错误，文件仍然会被写入到指定的路径。这表明Flink的输入验证机制未能有效地阻止此类攻击。 为了复现此漏洞，可以使用Vulhub提供的环境，通过`docker-compose build`和`docker-compose up -d`命令来启动实验环境。然后，使用类似MS08067的工具构造POC（Proof of Concept）请求，模拟攻击者的操作。 此外，CVE-2020-17518还可以与另一个名为CVE-2020-17519的漏洞结合利用。后者是针对Apache Flink 1.11.0、1.11.1和1.11.2版本的任意文件读取漏洞。攻击者可以使用这个漏洞来验证通过CVE-2020-17518写入的文件是否成功，例如，通过发送一个GET请求到/jobmanager/logs/路径，并使用URL编码的“../”来尝试读取刚刚写入的文件。 为了防止这类攻击，用户应该尽快更新Apache Flink到不受影响的版本，或者应用官方发布的安全补丁。同时，对所有接收用户输入的数据处理流程进行严格的安全审查，以确保没有类似的目录遍历漏洞存在。加强输入验证和限制文件系统的访问权限也是必要的防御措施。对于已经受到攻击的系统，需要检查是否有未经授权的文件写入或敏感信息泄露，并立即采取补救措施。