#安全资讯 ASF 基金会披露近期的第三个安全漏洞，该漏洞位于 Apache Traffic Control 组件中，评分达到 9.9 分，由腾讯云鼎安全实验室报告。ATC 组件是 CDN 的开源实现，而漏洞则是 SQL 注入，攻击者利用漏洞可以发送特制的 PUT 请求在数据库中执行任意 SQL 命令。查看全文：https://ourl.co/107274

这是近期 ASF 基金会披露的第三个安全问题，此次安全公告主要涉及 CVE-2024-45387 漏洞，该漏洞由腾讯云鼎安全实验室的研究人员报告。

漏洞位于 Apache Traffic Control 流量控制组件中，该组件可以建立内容分发网络即 CDN，实现快速高效地向用户交付内容。

CVE-2024-45387 漏洞 CVSS 评分为 9.9/10 分，若成功利用漏洞则攻击者可以在数据库中执行任意结构化查询语言命令 (即 SQL 命令)。

项目维护者在公告中表示：

Apache Traffic Control 8.0.0~8.0.1 版中的 Traffic Ops 中存在 SQL 注入漏洞，允许具有管理员、联合、操作、门户、指导角色的特权用户通过发送特制的 PUT 请求对数据库执行任意 SQL 命令。

使用该模块的用户应当立即升级到 8.0.2 版，该版本发布于 2024 年 10 月，到现在才披露漏洞就是为了避免有攻击者对新版本进行逆向从而发现漏洞并利用。