HertzBeat(赫兹跳动) 开源实时监控系统存在反序列化漏洞
一、漏洞简介
<font style="color:rgb(52, 73, 94);">Apache HertzBeat 是开源的实时监控工具。受影响版本中由于使用漏洞版本的 SnakeYAML v1.32解析用户可控的 yaml 文件，经过身份验证的攻击者可通过 /api/monitors/import、/api/alert/defines/import 接口新增监控类型时配置恶意的 yaml 脚本远程执行任意代码。</font>
二、影响版本
- HertzBeat 开源实时监控系统
三、资产测绘
- fofa
app="HertzBeat-实时监控系统" - 特征
四、漏洞复现
默认账号密码 admin/hertzbeat
点击导入监控
修改上传yaml文件中的value值
成功执行代码
