Месяцы спустя после исправления уязвимости в Apache HugeGraph-Server ее используют для запуска удаленного выполнения кода (RCE) на уязвимых конечных точках. Некоммерческая организация по безопасности Shadowserver Foundation сработала тревогу по поводу Mastodon, отметив: «Мы наблюдаем попытки эксплуатации удаленного выполнения команд Apache HugeGraph-Server CVE-2024-27348 через ‘POST /gremlin’ из нескольких источников», — гласит предупреждение. «Код PoC общедоступен с начала июня. Если у вас запущен HugeGraph, обязательно обновите».
Уязвимость, на которую ссылается Shadowserver Foundation, описывается как уязвимость удаленного выполнения команд в API языка Gremlin для обхода графа. Она имеет оценку серьезности 9.8 и затрагивает все версии программного обеспечения до 1.3.0.
Версия 1.3.0, которая решает эту проблему, была выпущена в апреле 2024 года. Тогда Apache Software Foundation настоятельно рекомендовала своим пользователям применить патч и включить систему аутентификации. «Также вы можете включить функцию ‘Белый список IP/порт’, чтобы повысить безопасность выполнения RESTful-API», — говорилось тогда.
Apache HugeGraph — это система графовой базы данных с открытым исходным кодом, поддерживающая хранение и запросы миллиардов вершин и ребер. Реализованная на основе фреймворка Apache TinkerPop3, она полностью совместима с языком запросов Gremlin, позволяя выполнять сложные запросы и анализ графиков.
HugeGraph подходит для различных приложений, таких как исследование глубоких отношений, анализ ассоциаций, поиск путей, извлечение признаков, кластеризация данных, обнаружение сообществ, и графы знаний. Она используется в таких областях, как безопасность сети, обнаружение мошенничества в телекоммуникациях, контроль финансовых рисков, рекомендации по рекламе, социальные сети и интеллектуальные роботы.
HugeGraph-Server, с другой стороны, является основным компонентом проекта Apache HugeGraph, отвечающим за обработку, запросы и управление графовыми данными. Он разработан для эффективного управления и обработки графовых данных масштаба Больших данных, поддерживает различные движки хранения на стороне сервера и предоставляет надежные API для взаимодействия с данными.
Источник: TechRadar
