首頁 > 安全研究 > 安全通報 > 安全通告

【漏洞通告】Apache IoTDB UDF遠程代碼執行漏洞 (CVE-2024-24780)

發布時間 2025-05-15

一、漏洞概述


漏洞名稱

Apache IoTDB UDF遠程代碼執行漏洞

CVE   ID

CVE-2024-24780

漏洞類型

RCE

發現時間

2025-05-15

漏洞評分

9.8

漏洞等級

嚴重

攻擊向量

網絡

所需權限

無

利用難度

低

用戶交互

不需要

PoC/EXP

未公開

在野利用

未發現


Apache IoTDB（Internet of Things Database）是一個專為物聯網數據存儲和處理設計的高效時序數據庫。它支持大規模數據寫入、高吞吐量和低延遲查詢，尤其適用于傳感器數據、設備監控等應用場景。IoTDB提供靈活的數據模型，能夠高效地處理時序數據的插入、查詢和壓縮，同時支持SQL兼容的查詢語言，方便與其他系統集成。它具有可擴展性，支持分布式部署，廣泛用于工業、能源和智能家居等領域。


2025年5月15日，啟明星辰集團VSRC監測到Apache官方發布的安全公告，指出Apache IoTDB存在遠程代碼執行漏洞。攻擊者可以通過不可信的URI注冊惡意的用戶定義函數（UDF），進而執行任意代碼。該漏洞影響Apache IoTDB版本1.0.0至1.3.4，攻擊者需要具備創建UDF的權限才能利用此漏洞。成功利用該漏洞可能導致系統遭受遠程控制，嚴重威脅系統安全。漏洞級別嚴重，漏洞評分9.8分。


二、影響范圍


1.0.0<=Apache IoTDB<1.3.4


三、安全措施


3.1 升級版本


官方已發布安全更新，建議受影響用戶盡快升級到Apache IoTDB 1.3.4版本。


下載鏈接：https://iotdb.apache.org/


3.2 臨時措施


暫無。


3.3 通用建議


? 定期更新系統補丁，減少系統漏洞，提升服務器的安全性。
? 加強系統和網絡的訪問控制，修改防火墻策略，關閉非必要的應用端口或服務，減少將危險服務（如SSH、RDP等）暴露到公網，減少攻擊面。
? 使用企業級安全產品，提升企業的網絡安全性能。
? 加強系統用戶和權限管理，啟用多因素認證機制和最小權限原則，用戶和軟件權限應保持在最低限度。
? 啟用強密碼策略并設置為定期修改。


3.4 參考鏈接


https://lists.apache.org/thread/xphtm98v3zsk9vlpfh481m1ry2ctxvmj
https://www.tenable.com/cve/CVE-2024-24780
上一篇 下一篇