Apache ZooKeper up to 3.4.9/3.5.2 Command CPU Exhaustion 拒绝服务漏洞

CVE编号

CVE-2017-5637

利用情况

暂无

补丁情况

官方补丁

披露时间

2017-10-10

漏洞描述

Apache Zookeeper是美国阿帕奇（Apache）软件基金会的一个软件项目，它能够为大型分布式计算提供开源的分布式配置服务、同步服务和命名注册等功能。
Apache Zookeeper中存在拒绝服务漏洞。攻击者可利用该漏洞造成拒绝服务。

解决建议

目前厂商已发布升级补丁以修复漏洞，详情请关注厂商主页：
https://zookeeper.apache.org/

参考链接
http://www.debian.org/security/2017/dsa-3871
http://www.securityfocus.com/bid/98814
https://access.redhat.com/errata/RHSA-2017:2477
https://access.redhat.com/errata/RHSA-2017:3354
https://access.redhat.com/errata/RHSA-2017:3355
https://issues.apache.org/jira/browse/ZOOKEEPER-2693
https://lists.apache.org/thread.html/053d9ce4d579b02203db18545fee5e33f35f2932...
https://lists.apache.org/thread.html/58170aeb7a681d462b7fa31cae81110cbb749d2d...
https://lists.apache.org/thread.html/bcce5a9c532b386c68dab2f6b3ce8b0cc9b950ec...
https://lists.apache.org/thread.html/rca37935d661f4689cb4119f1b3b224413b22be1...
https://www.oracle.com//security-alerts/cpujul2021.html
https://www.oracle.com/security-alerts/cpujul2020.html

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	apache	zookeeper	3.4.0	-
	运行在以下环境
	应用	apache	zookeeper	3.4.1	-
	运行在以下环境
	应用	apache	zookeeper	3.4.2	-
	运行在以下环境
	应用	apache	zookeeper	3.4.3	-
	运行在以下环境
	应用	apache	zookeeper	3.4.4	-
	运行在以下环境
	应用	apache	zookeeper	3.4.5	-
	运行在以下环境
	应用	apache	zookeeper	3.4.6	-
	运行在以下环境
	应用	apache	zookeeper	3.4.7	-
	运行在以下环境
	应用	apache	zookeeper	3.4.8	-
	运行在以下环境
	应用	apache	zookeeper	3.4.9	-
	运行在以下环境
	应用	apache	zookeeper	3.5.0	-
	运行在以下环境
	应用	apache	zookeeper	3.5.1	-
	运行在以下环境
	应用	apache	zookeeper	3.5.2	-
	运行在以下环境
	系统	debian_7	zookeeper	*		Up to (excluding) 3.4.5+dfsg-2+deb7u1
	运行在以下环境
	系统	debian_8	zookeeper	*		Up to (excluding) 3.4.5+dfsg-2+deb8u2

阿里云评分 3.1

• 攻击路径 远程
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 100

CWE-ID 漏洞类型 CWE-306 关键功能的认证机制缺失 CWE-400 未加控制的资源消耗（资源穷尽）