Apache-HertzBeat-SnakeYaml反序列化漏洞(CVE-2024-42323)

Apache-HertzBeat-SnakeYaml反序列化漏洞(CVE-2024-42323)

04013

Apache HertzBeat 是开源的实时监控工具。受影响版本中由于使用漏洞版本的 SnakeYAML v1.32解析用户可控的 yaml 文件，经过身份验证的攻击者可通过 /api/monitors/import、/api/alert/defines/import 接口新增监控类型时配置恶意的 yaml 脚本远程执行任意代码。

漏洞复现

访问http://localhost:4200/，admin/hertzbeat登录后台，选择任何监控点击导入监控

image-20241009211426283.png

修改上传yaml文件中的value值：

image-20241009211949488.png

成功执行代码

image-20241009211904763.png

© 版权声明
文章版权声明 1、本网站名称：博明网络
2、本站永久网址：https://www.laoxinsec.com
3、本网站的文章部分内容可能来源于网络，仅供大家学习与参考，如有侵权，请联系站长QQ740701843进行删除处理。
4、本站一切资源不代表本站立场，并不代表本站赞同其观点和对其真实性负责。
5、本站一律禁止以任何方式发布或转载任何违法的相关信息，访客发现请向站长举报
6、本站资源大多存储在云盘，如发现链接失效，请联系我们我们会第一时间更新。

THE END
漏洞文库
喜欢就支持一下吧
点赞13 分享
000001的头像|博明网络
老鑫安全-免杀基础课课件|博明网络
老鑫安全-免杀基础课课件
老鑫安全-免杀基础课课件
5个月前 222
老鑫安全培训-第五期（V2024-12老鑫安全培训）|博明网络
老鑫安全培训-第五期（V2024-12老鑫安全培训）
老鑫安全培训-第五期（V2024-12老鑫安全培训）
5个月前 194
老鑫安全培训-（从0-1安全研究员课程）|博明网络
老鑫安全培训-（从0-1安全研究员课程）
老鑫安全培训-（从0-1安全研究员课程）
5个月前 172
老鑫安全培训-第四期（免杀大师班）|博明网络
老鑫安全培训-第四期（免杀大师班）
老鑫安全培训-第四期（免杀大师班）
5个月前 156
老鑫安全培训-第二期|博明网络
老鑫安全培训-第二期
老鑫安全培训-第二期
5个月前 120
weevely，冰蝎，蚁剑，哥斯拉-webshell安装包|博明网络
weevely，冰蝎，蚁剑，哥斯拉-webshell安装包
weevely，冰蝎，蚁剑，哥斯拉-webshell安装包
5个月前 106
相关推荐
资管云comfileup.php前台文件上传漏洞(XVE-2024-18154)|博明网络
资管云comfileup.php前台文件上传漏洞(XVE-2024-18154)
资管云comfileup.php前台文件上传漏洞(XVE-2024-18154)
6个月前 127
1Panel面板最新前台RCE漏洞(CVE-2024-39911)|博明网络
1Panel面板最新前台RCE漏洞(CVE-2024-39911)
1Panel面板最新前台RCE漏洞(CVE-2024-39911)
5个月前 83
Apache-HertzBeat开源实时监控系统存在默认口令漏洞|博明网络
Apache-HertzBeat开源实时监控系统存在默认口令漏洞
Apache-HertzBeat开源实时监控系统存在默认口令漏洞
5个月前 77
紫光电子档案管理系统selectFileRemote存在SQL注入漏洞|博明网络
紫光电子档案管理系统selectFileRemote存在SQL注入漏洞
紫光电子档案管理系统selectFileRemote存在SQL注入漏洞
6个月前 77
Apache-HugeGraph-Server远程代码执行漏洞(CVE-2024-27348)|博明网络
Apache-HugeGraph-Server远程代码执行漏洞(CVE-2024-27348)
Apache-HugeGraph-Server远程代码执行漏洞(CVE-2024-27348)
5个月前 76
Apache ActiveMQ远程命令执行漏洞|博明网络
Apache ActiveMQ远程命令执行漏洞
Apache ActiveMQ远程命令执行漏洞
5个月前 68
评论 抢沙发
头像
欢迎您留下宝贵的见解！
提交
头像

昵称

取消
昵称

请填写用户信息：

  • 昵称(必填)
  • 邮箱(必填)
表情
[aoman][baiyan][bishi][bizui][cahan][ciya][dabing][daku][deyi][doge][fadai][fanu][fendou][ganga][guzhang][haixiu][hanxiao][zuohengheng][zhuakuang][zhouma][zhemo][zhayanjian][zaijian][yun][youhengheng][yiwen][yinxian][xu][xieyanxiao][xiaoku][xiaojiujie][xia][wunai][wozuimei][weixiao][weiqu][tuosai][tu][touxiao][tiaopi][shui][se][saorao][qiudale][qinqin][qiaoda][piezui][penxue][nanguo][liulei][liuhan][lenghan][leiben][kun][kuaikule][ku][koubi][kelian][keai][jingya][jingxi][jingkong][jie][huaixiao][haqian][aini][OK][qiang][quantou][shengli][woshou][gouyin][baoquan][aixin][bangbangtang][xiaoyanger][xigua][hexie][pijiu][lanqiu][juhua][hecai][haobang][caidao][baojin][chi][dan][kulou][shuai][shouqiang][yangtuo][youling]
代码

请输入代码：

确认
图片

    暂无评论内容

用户封面
000001的头像|博明网络
Apache-OFBiz授权不当致代码执行漏洞(CVE-2024-38856)
Apache-OFBiz存在路径遍历导致RCE漏洞(CVE-2024-36104)
Apache-Kafka的UI中的远程代码执行CVE-2023-52251
Apache-HugeGraph-Server远程代码执行漏洞(CVE-2024-27348)
Apache-HertzBeat开源实时监控系统存在默认口令漏洞
Apache-CloudStack中的SAML身份验证漏洞(CVE-2024-41107)