2.10. CVE-2018-11769:Apache CouchDB远程代码执行

日期

08.08.2018

影响

Apache CouchDB 1.x且≤2.1.2

严重程度

小贩

Apache软件基金会

2.10.1. 描述

CouchDB管理用户可以通过HTTP(S)配置数据库服务器。由于管理员通过HTTP API提供的配置设置验证不足,CouchDB管理员用户可以通过绕过不允许通过HTTP API修改的配置设置的黑名单,将其权限升级到CouchDB运行时所使用的操作系统用户的权限。

此权限提升有效地允许CouchDB管理员用户绕过 CVE-2017-12636CVE-2018-8007 .

2.10.2. 缓解

所有用户都应该升级到CouchDB 2.2.0 .

从同一系列中以前的2.x版本升级应该是无缝的。

仍然使用couchdb1.x的用户应该知道apachecouchdb团队不再支持1.x。

通过删除 _configdefault.ini 文件如下:

[httpd_global_handlers]
;_config = {couch_httpd_misc_handlers, handle_config_req}

或者阻止访问 /_config (1.x)或 /_node/*/_config 在服务前面的反向代理上路由。