【 TiDB 使用环境】生产环境
【 TiDB 版本】 5.4.0
【遇到的问题】做安全扫描，扫描出CVE-2009-3960漏洞，具体信息如下
漏洞名称 多个Adobe产品XML外部实体（XXE）注入（APSB10-05）(CVE-2009-3960)【原理扫描】
风险等级： 中
高可利用： 否
CVE编号： CVE-2009-3960
端口(服务)： 8123(http)
风险描述： 远程主机似乎正在运行一个容易受到XML外部实体(XXE)攻击的Adobe产品。当使用HTTPChannel以AMFX格式传输数据时，产品的安装版本无法阻止使用外部XML实体。远程的、未经身份验证的攻击者可以利用此漏洞从远程系统读取任意文件。
Adobe咨询公司称，Adobe BlazeDS、LiveCycle、LiveCycle数据服务、Flex数据服务和ColdFusion都受到了这个问题的影响。
风险影响： 程的、未经身份验证的攻击者可以利用此漏洞从远程系统读取任意文件。
解决方案： 应用供应商提供的适当补丁。
参考资料： https://www.adobe.com/support/security/bulletins/apsb10-05.html
https://security-assessment.com/files/advisories/2010-02-22_Multiple_Adobe_Products-XML_External_Entity_and_XML_Injection.pdf
https://seclists.org/bugtraq/2010/Feb/197
http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201002-143
协议类型： tcp
风险举证:
Sangfor found following vulnerable HTTPChannel endpoint :
HTTPChannel Endpoint : /flex2gateway/http
Sangfor was able to exploit the issue to retrieve the contents of
‘win.ini’ using the following request :
POST /flex2gateway/http HTTP/1.1
Host: -------:8123
Accept-Charset: iso-8859-1,utf-8;q=0.9,*;q=0.1
Accept-Language: en
Content-Type: application/x-amf
Connection: Keep-Alive
Content-Length: 865
User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0)
Pragma: no-cache
Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, image/png, /
This produced the following truncated output (limited to 10 lines) :
------------------------------ snip ------------------------------
Code: 62, e.displayText() = DB::Exception: Syntax error: failed at […]
[…] HOW [TEMPORARY] TABLES|DATABASES [[NOT] LIKE ‘str’], SHOW, EXISTS or SHOW […]
------------------------------ snip ------------------------------
漏洞ID： SF-0006-01897
【复现路径】
【问题现象及影响】请问该信息为误报还是真实的安全漏洞
【附件】
请提供各个组件的 version 信息，如 cdc/tikv，可通过执行 cdc version/tikv-server --version 获取。