KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2020-13151 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Aerospike是美国Aerospike公司的一套NoSQL数据库解决方案。 Aerospike（社区版）4.9.0.5版本中存在安全漏洞。Aerospike Community Edition 4.9.0.5允许未经身份验证的提交和执行以Lua编写的用户定义函数（UDF），作为数据库查询的一部分。它试图通过禁用os.execute()调用来限制代码执行，但这还不够。具有网络访问权限的任何人都可以使用精心制作的UDF在运行Aerospike服务的用户权限级别上在集群的所有节点上执行任意OS命令。
影响范围
应用：aerospike aerospike_server（影响面 Up to (excluding) 4.5.3.21）
应用：aerospike aerospike_server（影响面 Up to (excluding) 4.6.0.19）
应用：aerospike aerospike_server（影响面 Up to (excluding) 4.7.0.17）
应用：aerospike aerospike_server（影响面 Up to (excluding) 4.8.0.13）
应用：aerospike aerospike_server（影响面 Up to (excluding) 4.9.0.10）
应用：aerospike aerospike_server（影响面 Up to (excluding) 5.0.0.7）
解决方案
升级至5.1.0.3及之后的版本。
参考信息
http://packetstormsecurity.com/files/160106/Aerospike-Database-5.1.0.3-Remote-Command-Execution.html
http://packetstormsecurity.com/files/160451/Aerospike-Database-UDF-Lua-Code-Execution.html
https://b4ny4n.github.io/network-pentest/2020/08/01/cve-2020-13151-poc-aerospike.html
https://www.aerospike.com/download/server/notes.html#5.1.0.3
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。