XXL-JOB executor 未授权访问漏洞复现

概述

XXL-JOB executor 未授权访问漏洞

• XXL-JOB是一个分布式任务调度平台，其核心设计目标是开发迅速、学习简单、轻量级、易扩展。现已开放源代码并接入多家公司线上产品线，开箱即用。XXL-JOB分为admin和executor两端，前者为后台管理页面，后者是任务执行的客户端。executor默认没有配置认证，未授权的攻击者可以通过RESTful API执行任意命令。
• 不过XXL-JOB官方版本原生自带了鉴权组件，开启后可保障系统底层通讯安全。因此，正常情况下调度中心与执行器底层通讯是安全的，不存在远程命令漏洞。
• 但是，如果执行器未开启访问令牌，会导致无法识别并拦截非法的调度请求。恶意请求方可以借助GLUE模式，推送恶意攻击代码实现远程攻击。

漏洞影响

• XXL-JOB <= 2.2.0

Executor

是一个用于统一创建与运行的接口。Executor框架实现的就是线程池的功能。

未授权访问漏洞

• 漏洞描述
  未授权访问漏洞，是在攻击者没有获取到登录权限或未授权的情况下，不需要输入密码，即可通过输入网站控制台主页面地址或者不允许查看的连接便可进行访问，同时进行操作。
• 漏洞检测 通过抓包工具（burpsuite、fiddler等），将抓取到的功能链接，在其他浏览器进行打开。
• 修复方案：
  加入用户身份认证机制或token验证，对系统的功能点增加权限控制。
  采