Apache Avro SDK曝关键漏洞，可在Java中执行任意代码

Apache Avro Java软件开发工具包（SDK）中披露了一个关键安全漏洞，如果成功利用，可以在易受攻击的实例上执行任意代码。该漏洞编号为CVE-2024-47561，影响1.11.4之前版本的所有软件。Databricks安全团队的Kostya Kortchinsky被发现并报告了这个安全缺陷。

Apache Avro与谷歌的Protocol Buffers（protobuf）类似，是一个为大规模数据处理提供语言中立的数据序列化框架的开源项目，提供紧凑、快速且高效的数据格式。它在大数据处理、分布式系统和云计算中被广泛使用。项目维护者发布公告称，“Apache Avro 1.11.3及之前版本的Java SDK中的模式解析允许恶意行为者执行任意代码，建议用户升级到1.11.4或1.12.0版本，这些版本修复了此问题。”

Avro团队进一步指出，如果应用程序允许用户提供自己的Avro模式进行解析，则该漏洞会影响任何应用程序。

“CVE-2024-47561影响Apache Avro 1.11.3及之前版本，在通过avroAvro模式反序列化接收到的输入时。处理来自威胁行为者的此类输入会导致代码执行。根据我们的威胁情报报告，没有公开的PoC，但这个漏洞存在于通过ReflectData和SpecificData指令处理包时，也可以通过Kafka利用。

1. 更新 Apache Avro SDK

xml<dependency><groupId>org.apache.avrogroupId><artifactId>avroartifactId><version>1.10.2version> dependency>

2. 验证输入数据

javaimport org.apache.avro.Schema;import org.apache.avro.file.DataFileReader;import org.apache.avro.generic.GenericDatumReader;import org.apache.avro.generic.GenericRecord;import org.apache.avro.io.DatumReader;
import java.io.File;
public class AvroDeserializer {public static void main(String[] args) throws Exception {File file = new File("example.avro");Schema schema = new Schema.Parser().parse(new File("schema.avsc"));
DatumReader datumReader = new GenericDatumReader<>(schema);DataFileReader dataFileReader = new DataFileReader<>(file, datumReader);
for (GenericRecord record : dataFileReader) {// 验证记录是否符合模式if (isValid(record)) {// 处理记录} else {throw new SecurityException("数据格式无效");}}}
private static boolean isValid(GenericRecord record) {// 在此处实现您的验证逻辑return true;}}

3. 使用安全的反序列化库

4. 实施输入清理

5. 监控和记录反序列化事件

6. 使用安全扫描器

javaimport com.fasterxml.jackson.databind.ObjectMapper;import com.fasterxml.jackson.databind.jsontype.BasicPolymorphicTypeValidator;import com.fasterxml.jackson.databind.jsontype.PolymorphicTypeValidator;
public class SecureDeserializer {public static void main(String[] args) throws Exception {ObjectMapper objectMapper = new ObjectMapper();PolymorphicTypeValidator ptv = BasicPolymorphicTypeValidator.builder().allowIfBaseType(Object.class).build();objectMapper.activateDefaultTyping(ptv, ObjectMapper.DefaultTyping.NON_FINAL);
// 安全地反序列化数据MyObject obj = objectMapper.readValue(jsonString, MyObject.class);}}