‘Trois ans vieux, une faille d’Apache Flink sous attaque active’

Un bug d’accès non autorisé dans Apache Flink qui a été corrigé en janvier 2021 a été ajouté au Catalogue des Vulnérabilités Exploitées Connues du gouvernement américain, ce qui signifie que les criminels exploitent actuellement la faille dans la nature pour compromettre des cibles. De plus, son inclusion dans le catalogue signifie que les agences fédérales doivent soit combler le trou dans leurs déploiements du logiciel, soit cesser complètement d’utiliser l’outil d’ici le 13 juin. Tout le monde devrait s’assurer d’avoir appliqué les correctifs. Tout le monde devrait également vérifier s’ils ont été compromis par la vulnérabilité, si possible. Bien qu’on sache maintenant que le bug est exploité dans la nature, il aurait pu être abusé plus tôt. Flink est un framework de traitement en continu et par lots en open source maintenu par la Fondation Apache Software. Ce bug particulier, suivi sous le nom CVE-2020-17519, pourrait permettre aux intrus d’accéder à des données sensibles. « Un changement introduit dans Apache Flink 1.11.0 (et publié également dans 1.11.1 et 1.11.2) permet aux attaquants de lire n’importe quel fichier sur le système de fichiers local du JobManager via l’interface REST du processus JobManager, » a souligné il y a un peu plus de trois ans le mainteneur de projet Flink, Robert Metzger.