关于Apache Traffic Control SQL注入漏洞（CVE-2024-45387）的预警提示

一、漏洞详情

Apache Traffic Control（ATC）是一个开源的、基于Web的负载均衡和流量管理解决方案，主要用于管理和配置内容分发网络（CDN）和其他网络流量分发基础设施。

近日，监测到Apache Traffic Control SQL注入漏洞（CVE-2024-45387）。由于Apache Traffic Control的Traffic Ops组件中未对输入进行充分验证或过滤，具有特定角色（如admin、federation、operations、portal、steering）的特权用户可通过向deliveryservice_request_comments 端点发送特制的PUT请求，利用SQL注入漏洞执行任意SQL查询，从而可能泄露、修改或删除数据库中的数据。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

Apache Traffic Control 8.0.0 - 8.0.1

三、修复建议

目前该漏洞已经修复，受影响用户可升级到以下版本：

Apache Traffic Control >= 8.0.2