棱镜七彩安全预警

近日，棱镜七彩威胁情报团队探测到开源项目Apache StreamPipes 存在权限升级漏洞，经分析研判，向全社会发起开源漏洞预警公告，提醒相关安全团队及时响应。

项目介绍

Apache StreamPipes（incubating）是一个工业物联网工具箱，它使非技术用户能够灵活地连接、分析和利用连续数据流。StreamPipes 将事件驱动的微服务架构与丰富的图形用户界面集成在一起，使用户可以创建流处理管道。

项目主页

http://streampipes.incubator.apache.org/

代码托管地址

https://github.com/apache/streampipes

CVE编号

CVE-2023-31469

漏洞情况

Apache StreamPipes是一款开源的流处理和机器学习平台。Apache StreamPipes 受影响版本中由于 UserResource.java 中的updateAppearanceMode、registerUser、registerService 函数未对用户身份进行验证，具有登录权限的普通用户可通过 {userId}/appearance/mode/{darkMode}、/user、/service API接口执行更改外观主题、注册新的用户或服务。

受影响的版本

org.apache.streampipes:streampipes-rest@[0.69.0, 0.92.0)

修复方案

升级org.apache.streampipes:streampipes-rest到 0.92.0 或更高版本

链接地址

• https://nvd.nist.gov/vuln/detail/CVE-2023-31469
• https://lists.apache.org/thread/c4y8kf9bzpf36v4bottfmd8tc9cxo19m
• https://github.com/apache/streampipes/commit/2532e6a3694c91543d3792284e05a1eb6c485db6
• https://github.com/apache/streampipes/issues/655