近日，棱镜七彩威胁情报团队探测到开源项目Apache StreamPipes 存在权限升级漏洞，经分析研判，向全社会发起开源漏洞预警公告，提醒相关安全团队及时响应。
项目介绍
Apache StreamPipes（incubating）是一个工业物联网工具箱，它使非技术用户能够灵活地连接、分析和利用连续数据流。StreamPipes 将事件驱动的微服务架构与丰富的图形用户界面集成在一起，使用户可以创建流处理管道。
项目主页
http://streampipes.incubator.apache.org/
代码托管地址
https://github.com/apache/streampipes
CVE编号
CVE-2023-31469
漏洞情况
Apache StreamPipes是一款开源的流处理和机器学习平台。Apache StreamPipes 受影响版本中由于 UserResource.java 中的updateAppearanceMode、registerUser、registerService 函数未对用户身份进行验证，具有登录权限的普通用户可通过 {userId}/appearance/mode/{darkMode}、/user、/service API接口执行更改外观主题、注册新的用户或服务。
受影响的版本
org.apache.streampipes:streampipes-rest@[0.69.0, 0.92.0)
修复方案
升级org.apache.streampipes:streampipes-rest到 0.92.0 或更高版本
链接地址
- https://nvd.nist.gov/vuln/detail/CVE-2023-31469
- https://lists.apache.org/thread/c4y8kf9bzpf36v4bottfmd8tc9cxo19m
- https://github.com/apache/streampipes/commit/2532e6a3694c91543d3792284e05a1eb6c485db6
- https://github.com/apache/streampipes/issues/655