9月11日，金山云安全应急响应中心监测到到Apache软件基金会发布安全公告，修复了Apache DolphinScheduler权限覆盖漏洞和远程执行代码漏洞。

攻击者可利用这两个漏洞实现权限提升与远程代码执行，危害较高，请相关用户及时升级进行防护，以保证资产安全。

漏洞描述

Apache DolphinScheduler远程执行代码漏洞

漏洞编号：CVE-2020-11974

该漏洞与mysql connectorj远程执行代码漏洞有关，在选择mysql作为数据库时，攻击者可通过jdbc connect参数输入{“detectCustomCollations”:true,”autoDeserialize”:true}在DolphinScheduler 服务器上远程执行代码。

Apache DolphinScheduler权限覆盖漏洞

漏洞编号：CVE-2020-13922

该漏洞导致普通用户可通过api interface在DolphinScheduler 系统中覆盖其他用户的密码：api interface /dolphinscheduler/users/update。

风险等级

高危

影响版本

Apache DolphinScheduler权限覆盖漏洞（CVE-2020-13922）

u Apache DolphinScheduler 1.2.0

u Apache DolphinScheduler 1.2.1

u Apache DolphinScheduler 1.3.1

Apache DolphinScheduler远程执行代码漏洞（CVE-2020-11974）

u Apache DolphinScheduler 1.2.0

u Apache DolphinScheduler 1.2.1

修复建议

目前官方已在最新版本中修复了此次的漏洞，请受影响的用户尽快升级版本至1.3.2进行防护，官方下载链接：

https://dolphinscheduler.apache.org/zh-cn/docs/release/download.html

参考链接

[1] https://www.mail-archive.com/announce@apache.org/msg06076.html

[2] https://www.mail-archive.com/announce@apache.org/msg06077.html

北京金山云网络技术有限公司

2020/09/11