XXL-JOB 默认 accessToken 权限绕过

2023-11-02 19:40 栏目：安全预警 查看()

基础信息

漏洞名称	XXL-JOB 默认 accessToken 权限绕过	漏洞类型	代码问题
危害等级	高危	漏洞编号	VUL-2023-11003
厂商		来源	https://www.xuxueli.com/xxl-job/#5.10%20%E8%AE%BF%E9%97%AE%E4%BB%A4%E7%89%8C%EF%BC%88AccessToken%EF%BC%89
发布时间	2023-11-01 16:01:57	更新时间	2023-11-01 16:01:57

XXL-JOB 是一款开源的分布式任务调度平台，用于实现大规模任务的调度和执行。 XXL-JOB 默认配置下，用于调度通讯的 accessToken 是 application.properties 配置文件中的默认值。在生产环境中，若没有更改默认配置，攻击者可利用默认token去绕过认证，执行任意代码，从而获取服务器权限。

xxl-job <= 2.4.0

修复方案：

官方已经出修复方案，请依靠https://www.xuxueli.com/xxl-job/#5.10%20%E8%AE%BF%E9%97%AE%E4%BB%A4%E7%89%8C%EF%BC%88AccessToken%EF%BC%89 进行accessToken 的配置。

缓解方案：

1.加强系统和网络的访问控制，修改防火墙策略，不将非必要服务暴露于公网

2.在公网部署的系统，依靠https://www.xuxueli.com/xxl-job/#5.10%20%E8%AE%BF%E9%97%AE%E4%BB%A4%E7%89%8C%EF%BC%88AccessToken%EF%BC%89 进行accessToken 的配置。

3.定期对服务器上的网站后门文件进行及时查杀

4.通过设置防火墙等网络设备的ACL网络策略，限制访问来源

来源：官方建议文档
链接：https://www.xuxueli.com/xxl-job/#5.10%20%E8%AE%BF%E9%97%AE%E4%BB%A4%E7%89%8C%EF%BC%88AccessToken%EF%BC%89

扫二维码与项目经理沟通

我们在微信上24小时期待你的声音

解答本文疑问/技术咨询/运营咨询/技术建议/互联网交流

24小时咨询热线：400-833-8523

郑重申明：网驭数安以外的任何单位或个人，不得使用该案例作为工作成功展示！

安全预警

Apache Arrow PyArrow

漏洞名称Apache Arrow PyArrow 任意代码执行漏洞类型代码注入危害等级超危漏洞编号CVE-2023-47248 (2)厂商apache来源互联网发布时间2023-11-10 11:52...

“安心干”全包服务

网络安全

网驭数安“安心干”网络安全服务，提供等保建设、安全加固、安全运维、数据加密、数据防泄密等一站式服务，同时提供人性化网络安全设备租赁服务，如堡垒机、日志服务器、链路监控、VPN等
查看详情
运维外包

专业提供网络安全运维、桌面运维、机房运维、系统管理，全方位IT运维解决方案让您无忧办公！网驭数安创新提供“安心干”运维解决方案，提供堡垒机、VPN、系统监控、日志服务器等运维辅助设备，按年收费，杜绝一次性投入减轻客户压力。
查看详情
软硬件定制

提供网站、小程序、AD域控工具、私有协同云、研发平台管理系统开发与堡垒机、网络系统监控、域控服务器、VPN、DNS服务器定制。网驭数安“安心干”定制服务，提供软件硬件一体化定制服务的同时提供额外定制设备租赁服务，即定制+租赁的服务模式，按年付费的新服务模式。
查看详情
弱电集成

机房建设、监控系统、门禁系统、综合布线、道闸系统、企业/工厂/学校/政府弱电系统综合集成建设
查看详情
更多服务项目

网驭数安提供“安心干”全包服务，客户只需提供需求，我们完善提供方案设计、优化、设备采购、项目实施、项目售后技术支持与改进。
获取更多