AG公司云
【清静通告】Apache Flink目录遍历误差（CVE-2020-17518、17519）
2021-01-06
综述
克日 ，Apache Flink 宣布了两个目录遍历误差 ，划分是CVE-2020-17518和CVE-2020-17519。现在官方已提供修复了误差的新版本 ，还请受影响用户尽快更新升级举行防护。
CVE-2020-17518：Flink 1.5.1版本中引入了REST API ，该误差允许攻击者通过结构恶意的HTTP header ，将上传的文件写入到外地文件系统上的恣意位置。
CVE-2020-17519：Flink部分版本（1.11.0, 1.11.1, 1.11.2）中保存该误差 ，允许攻击者通过JobManager历程的REST API ，读取JobManager外地文件系统上的恣意文件。会见仅限于JobManager历程可会见的文件。
Apache Flink是开源流处置惩罚框架 ，可用于对流数据举行漫衍式处置惩罚 ，在大数据领域中应用普遍。
参考链接：
https://lists.apache.org/thread.html/rb43cd476419a48be89c1339b527a18116f23eec5b6df2b2acbfef261%40%3Cdev.flink.apache.org%3E
https://lists.apache.org/thread.html/r6843202556a6d0bce9607ebc02e303f68fc88e9038235598bde3b50d%40%3Cdev.flink.apache.org%3E
受影响产品版本
CVE-2020-17518
Apache Flink Version ：1.5.1 - 1.11.2
CVE-2020-17519
Apache Flink Version ：1.11.0, 1.11.1, 1.11.2
修复误差的版本
Apache Flink Version ：1.11.3 、 1.12.0
解决计划
官方已提供修复了上述误差的新版本 ，建议受影响用户尽快升级。
下载地点：https://flink.apache.org/downloads.html
别的 ，关于无法实时升级的用户 ，建议接纳以下暂时防护步伐：
1. 榨取对公网开放Flink。
2. 为Flink的会见增添认证战略。
声 明
本清静通告仅用来形貌可能保存的清静问题 ，AG公司科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失 ，均由使用者自己认真 ，AG公司科技以及清静通告作者不为此肩负任何责任。AG公司科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告 ，必需包管此清静通告的完整性 ，包括版权声明等所有内容。未经AG公司科技允许 ，不得恣意修改或者增减此清静通告内容 ，不得以任何方法将其用于商业目的。
关于AG公司科技
AG公司（简称AG公司科技）建设于2000年4月 ，总部位于北京。在海内外设有30多个分支机构 ，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户 ，提供具有焦点竞争力的清静产品及解决计划 ，资助客户实现营业的清静顺畅运行。
基于多年的清静攻防研究 ，AG公司科技在网络及终端清静、互联网基础清静、合规及清静治理等领域 ，为客户提供入侵检测/防护、抗拒绝服务攻击、远程清静评估以及Web清静防护等产品以及专业清静服务。
AG公司于2014年1月29日起在深圳证券生意所创业板上市 ，股票简称：AG公司科技 ，股票代码：300369。
