一、 漏洞 CVE-2025-60021 基础信息
漏洞信息
# bRPC 堆内存服务远程命令注入漏洞
## 概述
Apache bRPC 内置的堆内存分析服务存在远程命令注入漏洞，攻击者可利用该漏洞执行任意命令。
## 影响版本
所有低于 1.15.0 的 Apache bRPC 版本。
## 细节
漏洞位于 bRPC 的堆内存分析服务接口 `/pprof/heap`，该服务未对用户输入的 `extra_options` 参数进行有效校验，直接将其作为命令行参数执行，导致命令注入。
## 影响
攻击者可通过构造恶意请求，利用 `extra_options` 参数在目标服务器上执行任意系统命令，实现远程代码执行。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Apache bRPC: Remote command injection vulnerability in heap builtin service
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Remote command injection vulnerability in heap profiler builtin service in Apache bRPC ((all versions < 1.15.0)) on all platforms allows attacker to inject remote command. Root Cause: The bRPC heap profiler built-in service (/pprof/heap) does not validate the user-provided extra_options parameter and executes it as a command-line argument. Attackers can execute remote commands using the extra_options parameter.. Affected scenarios: Use the built-in bRPC heap profiler service to perform jemalloc memory profiling. How to Fix: we provide two methods, you can choose one of them: 1. Upgrade bRPC to version 1.15.0. 2. Apply this patch ( https://github.com/apache/brpc/pull/3101 ) manually.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
在命令中使用的特殊元素转义处理不恰当(命令注入)
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2025-60021 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2025-60021 的情报信息
标题： CVE-2025-60021: Apache bRPC: Remote command injection vulnerability in heap builtin service-Apache Mail Archives -- 🔗来源链接
标签：vendor-advisory
神龙速读：### 关键信息 #### 漏洞标识 - **CVE编号**: CVE-2025-60021 #### 影响版本 - **Apache bRPC**: 1.11.0 before 1.15.0 #### 漏洞描述 - **类型**: Remote command injection vulnerability - **位置**: heap profiler builtin service #### 根因 - bRPC heap profiler built-in service (/pprof/heap) does not validate the user-provided `extra_options` parameter and executes it as a command-line argument. #### 受影响场景 - 使用内置的bRPC堆分析器服务执行jemalloc内存分析。 #### 修复方案 1. 升级bRPC到版本1.15.0。 2. 手动应用补丁: [https://github.com/apache/brpc/pull/3101](https://github.com/apache/brpc/pull/3101) #### 致谢 - Simcha Kosman (reporter) #### 参考链接 - [https://brpc.apache.org](https://brpc.apache.org) - [https://www.cve.org/CVERecord?id=CVE-2025-60021](https://www.cve.org/CVERecord?id=CVE-2025-60021)
- https://nvd.nist.gov/vuln/detail/CVE-2025-60021
四、漏洞 CVE-2025-60021 的评论
暂无评论