一 漏洞概述

2020年9月11日，Apache软件基金会发布安全公告，修复了Apache DolphinScheduler权限覆盖漏洞（CVE-2020-13922）。

CVE-2020-13922导致普通用户可通过api interface在DolphinScheduler 系统中覆盖其他用户的密码：api interface /dolphinscheduler/users/update，请相关用户及时升级进行防护。

 

二 影响版本

Apache DolphinScheduler = 1.2.0、1.2.1、1.3.1

 

三 复现过程

无

四 影响范围

根据 ZoomEye 网络空间搜索引擎对关键字"Apache DolphinScheduler"进行搜索，共得到 174,734,286  条 IP 历史记录，集中分布在美国和德国。

 

五 修复建议

目前官方已在最新版本中修复了此次的漏洞，请受影响的用户尽快升级版本至1.3.2进行防护，官方下载链接：

https://dolphinscheduler.apache.org/zh-cn/docs/release/download.html

 

六 时间线

Apache软件基金会发布安全公告时间：2020年9月11日

知道创宇发布漏洞情报时间：2020年9月11日

七 相关链接

https://dolphinscheduler.apache.org/zh-cn/docs/release/download.html

 

ZoomEye 网络空间搜索引擎：

https://www.zoomeye.org/searchResult/report?q=Apache%20DolphinScheduler