XXL-JOB权限控制问题分析：普通用户可查看未授权执行器日志

XXL-JOB权限控制问题分析：普通用户可查看未授权执行器日志

【免费下载链接】xxl-job XXL-JOB是一个分布式任务调度平台，其核心设计目标是开发迅速、学习简单、轻量级、易扩展。现已开放源代码并接入多家公司线上产品线，开箱即用。 项目地址: https://gitcode.com/xuxueli/xxl-job

问题背景

XXL-JOB作为一款流行的分布式任务调度平台，其权限控制机制是保障系统安全的重要环节。近期发现XXL-JOB在2.5.0及以下版本和3.0.0及以下版本中存在一个权限控制缺陷，可能导致普通用户能够查看未授权执行器的任务日志信息。

问题原理分析

该问题的核心在于系统对日志查看接口的权限校验不完善。具体表现为：

1. 权限校验不完整：系统在/xxl-job-admin/joblog/logDetailCat接口处理日志详情请求时，仅校验了用户是否登录，但未对用户是否有权限查看该日志进行校验。

2. 基于ID的直接访问：用户可以通过修改logId参数，直接访问任意执行器的日志记录。

3. 权限模型不完善：虽然系统在用户-执行器分配层面做了权限控制，但在日志查看这一关键操作上未能实现对应的权限校验。

问题验证过程

1. 环境准备：搭建包含两个执行器（A和B）的XXL-JOB环境，其中执行器A运行在Windows系统，执行器B运行在Linux系统。

2. 用户配置：创建一个普通用户，仅为其分配执行器B的权限。

3. 日志生成：

   • 管理员在执行器A上创建任务并执行，生成日志记录logId=1
   • 普通用户在执行器B上创建任务并执行，生成日志记录logId=2

4. 问题验证：普通用户通过修改请求参数，将logId改为1，即可查看执行器A的日志详情。

问题影响范围

该问题影响XXL-JOB的以下版本：

• 2.5.0及以下版本
• 3.0.0及以下版本

问题风险

1. 信息可见性：用户可获取未授权执行器的任务执行详情。

2. 权限范围扩大：普通用户可获取超出其权限范围的信息。

3. 日志安全性：日志系统的安全性受到影响。

改进方案

开发者已在master分支中修复该问题，主要改进包括：

1. 增强权限校验：在日志查看接口中添加对用户权限的严格校验。

2. 完善访问控制：确保用户只能查看其拥有权限的执行器相关的日志记录。

3. 参数验证：对传入的logId参数进行有效性验证。

安全建议

1. 版本更新：建议所有使用受影响版本的用户尽快更新到修复后的版本。

2. 权限审查：定期检查系统中的用户权限分配情况。

3. 日志监控：加强对日志访问行为的监控。

4. 接口安全测试：对系统关键接口进行全面安全测试。

总结

XXL-JOB的这一权限控制问题提醒我们，在分布式系统的权限设计中，必须对所有关键操作进行完整的权限校验。特别是在涉及重要信息的访问时，需要实施多层次的防御措施。开发者应当重视接口级别的安全控制，确保权限体系的完整性。

【免费下载链接】xxl-job XXL-JOB是一个分布式任务调度平台，其核心设计目标是开发迅速、学习简单、轻量级、易扩展。现已开放源代码并接入多家公司线上产品线，开箱即用。 项目地址: https://gitcode.com/xuxueli/xxl-job