【漏洞通告】Apache IoTDB UDF远程代码执行漏洞 (CVE-2024-24780)
发布时间 2025-05-15一、漏洞概述
漏洞名称 | Apache IoTDB UDF远程代码执行漏洞 | ||
CVE ID | CVE-2024-24780 | ||
漏洞类型 | RCE | 发现时间 | 2025-05-15 |
漏洞评分 | 9.8 | 漏洞等级 | 严重 |
攻击向量 | 网络 | 所需权限 | 无 |
利用难度 | 低 | 用户交互 | 不需要 |
PoC/EXP | 未公开 | 在野利用 | 未发现 |
Apache IoTDB（Internet of Things Database）是一个专为物联网数据存储和处理设计的高效时序数据库。它支持大规模数据写入、高吞吐量和低延迟查询，尤其适用于传感器数据、设备监控等应用场景。IoTDB提供灵活的数据模型，能够高效地处理时序数据的插入、查询和压缩，同时支持SQL兼容的查询语言，方便与其他系统集成。它具有可扩展性，支持分布式部署，广泛用于工业、能源和智能家居等领域。
2025年5月15日，启明星辰集团VSRC监测到Apache官方发布的安全公告，指出Apache IoTDB存在远程代码执行漏洞。攻击者可以通过不可信的URI注册恶意的用户定义函数（UDF），进而执行任意代码。该漏洞影响Apache IoTDB版本1.0.0至1.3.4，攻击者需要具备创建UDF的权限才能利用此漏洞。成功利用该漏洞可能导致系统遭受远程控制，严重威胁系统安全。漏洞级别严重，漏洞评分9.8分。
二、影响范围
三、安全措施
3.1 升级版本
下载链接：https://iotdb.apache.org/
京公网安备11010802024551号