Apache IoTDB 修复路径遍历与身份验证绕过漏洞（CVE-2026-24014）

sec随谈
sec随谈

sec随谈

2026年7月13日 08:47
北京

在小说阅读器读本章

去阅读

摘要

Apache IoTDB 已修复其时序数据库中的三个漏洞。其中最严重的是一个严重级(critical)路径遍历漏洞 CVE-2026-24014，评分为 9.8。第二个漏洞可导致身份验证绕过，第三个则会引发拒绝服务(DoS)。2.0.8 版本修复了全部三个漏洞。

为何重要

Apache IoTDB 为众多工业和物联网(IoT)环境存储传感器数据。许多工厂在边缘端(edge)和云端运行它。因此，一次入侵可能大规模地泄露或破坏实时数据。这三个 Apache IoTDB 漏洞中有两个被评为严重级。路径遍历漏洞可让攻击者几乎在任意位置写入文件，进而使植入的文件转化为代码执行(code execution)。与此同时，身份验证绕过漏洞会将存储的数据拱手交给外部人员访问。仅仅一个薄弱的端口，就可能使整个数据库面临风险。攻击者之所以觊觎这类数据库，正是看中其中存储的数据。这三个漏洞叠加起来，同时威胁到数据隐私、安全性与系统可用性。

攻击原理

路径遍历导致文件写入（CVE-2026-24014）

DataNode 的内部 RPC 会根据上传的 JAR 文件创建 Trigger（触发器）任务。它在构建文件路径时直接使用了该 JAR 文件名，却未做充分检查。因此攻击者可以添加路径遍历标记（如 ../）来逃逸出目标文件夹，从而以 IoTDB 进程的权限写入文件。该漏洞评分为 9.8，接近评分上限。当内部 RPC 端口暴露于不受信任的网络时，危险便会显现——一个精心构造的 JAR 文件名就是这个请求所需的全部。

身份验证绕过与拒绝服务

CVE-2026-24013 跳过了对 Thrift 会话 ID 的严格检查。因此攻击者可以伪造一个会话，无需任何登录即可读取查询结果。该绕过漏洞评分为 9.1，会导致私密的传感器数据外泄。CVE-2026-24012 则会接受一个带有极端时间范围的查询。该请求会构建出一个巨大的结果集，耗尽 Java 堆内存(heap)，DataNode 进程随后在高负载下崩溃。一个精心构造的请求就能使一个节点下线。

受影响版本

这三个 Apache IoTDB 漏洞影响 1.3.3 至 2.0.8 之间的版本。因此，较旧的 1.3.x 和 2.0.x 构建版本都存在这些漏洞。2.0.8 版本修复了所有问题。路径遍历漏洞由 Detecon Security Lab 报告。

利用现状

截至目前，尚未确认存在公开的利用代码或在野滥用。

补丁与缓解措施

请尽快升级到 Apache IoTDB 2.0.8，可从官方下载页面获取。在完成修补之前，应让 DataNode 的 RPC 端口远离不受信任的网络，同时用防火墙规则和网络访问限制来保护数据库。在正式部署前，先在预发布(staging)环境中测试更新。此外，打完补丁后，应审查日志中是否存在异常的 Trigger 上传行为。

参考链接：

https://iotdb.apache.org/Download/