CVE-2023-31039

CVE-2023-31039：ServerOptions.pid_file 可能导致任意代码执行

严重程度：重要

受影响版本：Apache bRPC 0.9.0 至 1.5.0 之前

描述：所有平台上 Apache bRPC <1.5.0 存在安全漏洞，攻击者可通过 ServerOptions::pid_file 执行任意代码。能够影响 bRPC 服务器启动时所使用的 ServerOptions pid_file 参数的攻击者，可以以 bRPC 进程的权限执行任意代码。

解决方案：

• 升级到 bRPC >= 1.5.0，下载链接：https://dist.apache.org/repos/dist/release/brpc/1.5.0/]
• 如果你使用的 bRPC 版本较旧且难以升级，可以应用此补丁：https://github.com/apache/brpc/pull/2218]

必需的配置：

• 从用户输入中设置 brpc::pid_file

临时规避方案：

• 应用此补丁：https://github.com/apache/brpc/pull/2218]

参考：

1. https://brpc.apache.org
2. https://www.cve.org/CVERecord?id=CVE-2023-31039

最后修改于 2023 年 5 月 16 日：添加安全漏洞修复页面 (devlive-community/knowforge#148) (a29da9f83)