Andrea Cosentino

**Nome do Software Vulnerável e Versões Afetadas** Apache Fluss versões anteriores a 0.9.1 **Description** O Netty LengthFieldBasedFrameDecoder está configurado com `Integer.MAX VALUE` como o comprimento máximo do quadro. Isso permite que atacantes remotos não autenticados esgotem a memória heap da JVM no TabletServer e no CoordinatorServer enviando cabeçalhos de quadro especialmente criados, resultando em negação de serviço. **Recommendations** Atualizar para a versão 0.9.1.

**Nome do Software Vulnerável e Versões Afetadas** Apache Flink Kubernetes Operator versões 1.3.0 até 1.14.x **Descrição** Um problema de Server-Side Request Forgery (SSRF) e acesso a arquivos locais existe onde o `jarURI` em `FlinkSessionJob` não é validado. Isso permite que um usuário com permissões de criação de CR leia arquivos do sistema de arquivos do pod do operador e recupere conteúdo de qualquer armazenamento acessível através da camada de sistema de arquivos plugável do Flink. Para endereços http/https, não há lista de permissões de esquema de URI, verificação de host, restrição de intervalo de IP ou proteção contra endereços internos ou link-local. **Recomendações** Atualizar para a versão 1.15.0.

The ConsulRegistry in the camel-consul component (class org.apache.camel.component.consul.ConsulRegistry and its inner ConsulRegistryUtils.deserialize method) read Java-serialized values from the Consul KV store and passed them to ObjectInputStream.readObject() without configuring an ObjectInputFilter. An attacker who can write to the Consul KV store backing a Camel ConsulRegistry instance could inject a malicious serialized Java object that is deserialized the next time Camel performs a lookup against that registry, leading to arbitrary code execution in the Camel process. The issue mirrors the class of vulnerability already addressed for other Camel components in CVE-2024-22369, CVE-2024-23114 and CVE-2026-25747, and was overlooked during the original remediation of those CVEs. This issue affects Apache Camel: from 3.0.0 before 4.14.6, from 4.15.0 before 4.18.1. Users are recommended to upgrade to version 4.19.0, which fixes the issue. If users are on the 4.14.x LTS releases stream, then they are suggested to upgrade to 4.14.6. If users are on the 4.18.x releases stream, then they are suggested to upgrade to 4.18.1.

**Nome do Software Vulnerável e Versões Afetadas** Apache Camel versões 4.19.0 até 4.19.x Apache Camel versões 4.18.0 até 4.18.1 **Descrição** A classe `FileBasedKeyLifecycleManager` do Camel-PQC desserializa o conteúdo de arquivos `<keyId>.key` no diretório de chaves configurado usando `java.io.ObjectInputStream` sem aplicar um `ObjectInputFilter` ou restrições de carregamento de classe. Como a conversão para `java.security.KeyPair` ocorre apenas após o retorno da função `readObject()`, quaisquer efeitos colaterais no objeto desserializado são executados antes da verificação de tipo. Um invasor com acesso de escrita ao diretório de chaves — possivelmente obtido via path traversal, permissões de sistema de arquivos mal configuradas, um pipeline de provisionamento de chaves comprometido ou um ataque de symlink — pode inserir um objeto Java serializado manipulado para obter a execução de código arbitrário no contexto da aplicação. **Recomendações** Atualizar para a versão 4.20.0. Atualizar para a versão 4.18.2 para usuários no fluxo de versões LTS 4.18.x.

**Name of the Vulnerable Software and Affected Versions** Apache SkyWalking MCP versão 0.1.0 **Description** Ocorre Server-Side Request Forgery através do cabeçalho 'SW-URL'. **Recommendations** Atualizar para a versão 0.2.0.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Apache Camel de 4.15.0 a 4.17.9 **Descrição** A KeycloakSecurityPolicy do Camel-Keycloak não valida a claim `iss` (emissor) dos tokens JWT em relação ao realm configurado. Isso permite que um token emitido por um realm do Keycloak seja aceito silenciosamente por uma política configurada para um realm diferente, o que quebra o isolamento de tenant. A claim `iss` identifica o emissor do JWT. **Recomendações** Atualize para a versão 4.18.0 para resolver este problema.

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 4.10.0 a 4.10.7 Apache Camel versões 4.14.0 a 4.14.4 Apache Camel versões 4.15.0 a 4.17.9 Descrição O componente LevelDB do Apache Camel contém uma falha relacionada à desserialização de dados não confiáveis. A classe `DefaultLevelDBSerializer` desserializa dados do repositório de agregação LevelDB usando `java.io.ObjectInputStream` sem implementar medidas de segurança adequadas, como `ObjectInputFilter` ou restrições de carregamento de classes. Isso permite que um atacante com capacidade de escrita nos arquivos de banco de dados LevelDB utilizados por uma aplicação Camel insira um objeto Java serializado malicioso. Quando esse objeto é desserializado durante operações normais do repositório de agregação, pode levar à execução arbitrária de código no contexto da aplicação. O componente `LevelDB` utiliza a função `DefaultLevelDBSerializer` para desserializar dados. O parâmetro vulnerável é o objeto Java serializado gravado no banco de dados LevelDB. Recomendações Atualize para a versão 4.18.0 ou posterior do Apache Camel. Atualize para a versão 4.10.9 do Apache Camel para as versões LTS 4.10.x. Atualize para a versão 4.14.5 do Apache Camel para as versões LTS 4.14.x.

Nome do Software Vulnerável e Versões Afetadas: Versões do Apache Hive anteriores a 4.0.0 Descrição: O problema surge devido ao uso de `Arrays.equals()` em `LlapSignerImpl` para comparar assinaturas de mensagem, permitindo que um atacante forje uma assinatura válida para uma mensagem arbitrária byte a byte. Isso pode ocorrer quando uma aplicação não utiliza um algoritmo de tempo constante para validar uma assinatura. O método `Arrays.equals()` retorna falso assim que encontra bytes diferentes na entrada, tornando o tempo de comparação dependente do conteúdo do array. Isso poderia permitir que usuários maliciosos enviem splits ou trabalhem com assinaturas selecionadas para o LLAP sem executar como um usuário privilegiado, potencialmente levando a um ataque DDoS. O atacante deve ser um usuário autorizado do produto para realizar este ataque. Recomendações: Versões do Apache Hive anteriores a 4.0.0: Atualize para a versão 4.0.0, que corrige este problema.

Nome do software vulnerável e versões afetadas: Versões do Apache Hadoop anteriores à 3.4.0 Descrição: O problema está relacionado à função `RunJar.run()` no Apache Hadoop, que não define permissões para o diretório temporário por padrão. Isso permite que outros usuários locais visualizem dados confidenciais gravados nesse diretório, uma vez que o diretório temporário do sistema é compartilhado entre todos os usuários locais em sistemas do tipo Unix. Recomendações: Para versões do Apache Hadoop anteriores à 3.4.0, atualize para a versão 3.4.0 ou posterior para resolver o problema. Como solução temporária, considere definir explicitamente as permissões POSIX corretas para o diretório temporário, a fim de impedir o acesso não autorizado. Restrinja o acesso aos dados confidenciais gravados no diretório temporário até que o problema seja resolvido.

Nome do Software Vulnerável e Versões Afetadas: Versões do Hive anteriores a 4.0.1 Descrição: O problema ocorre quando o Hive cria um arquivo de credenciais em um diretório temporário com permissões padrão de 644, permitindo que qualquer usuário não autorizado com acesso ao diretório leia informações sensíveis. Recomendações: As versões do Hive anteriores a 4.0.1 devem ser atualizadas para a versão 4.0.1 para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do Apache Doris anteriores à 2.0.0 Versão 1.2.8 e anteriores do Apache Doris **Descrição** O método de autenticação do Apache Doris estava vulnerável a ataques de temporização. Essa vulnerabilidade permite que invasores possam explorar o sistema. Recomenda-se que os usuários atualizem para uma versão corrigida a fim de resolver esse problema. **Recomendações** Para versões do Apache Doris anteriores à 2.0.0, atualize para a versão 2.0.0 ou posterior. Para a versão 1.2.8 e anteriores do Apache Doris, atualize para a versão 1.2.8 ou posterior.

Nome do software vulnerável e versões afetadas: Versões do Apache Camel de 3.0.0 a 3.21.3 Versões do Apache Camel de 3.22.0 a 3.22.0 Versões do Apache Camel de 4.0.0 a 4.0.3 Versões do Apache Camel de 4.1.0 a 4.3.x Descrição: A vulnerabilidade está relacionada à desserialização de dados não confiáveis no componente AggregationRepository do Apache Camel CassandraQL, que é vulnerável a desserialização insegura. Sob condições específicas, é possível desserializar uma carga maliciosa, permitindo potencialmente que um invasor remoto execute código arbitrário. Recomendações: Para as versões 3.0.0 a 3.21.3 do Apache Camel, atualize para a versão 3.21.4. Para a versão 3.22.0 do Apache Camel, atualize para a versão 3.22.1. Para as versões 4.0.0 a 4.0.3 do Apache Camel, atualize para a versão 4.0.4. Para as versões 4.1.0 a 4.3.x do Apache Camel, atualize para a versão 4.4.0.

**Name of the Vulnerable Software and Affected Versions** Apache Storm (affected versions not specified) **Description** The issue is related to insufficient access control in the Apache Storm platform for distributed stream computing on UNIX-like systems. This can lead to information disclosure when writing to the temporary directory using APIs that do not explicitly set file or directory permissions. The method `File.createTempFile` creates a file with predefined name and default permissions `-rw-r--r--`, allowing other local users to read sensitive information written to this file. The impact is limited as the affected class is used only when `ui.disable.spout.lag.monitoring` is set to false, which is true by default, and the temporary file is deleted soon after creation. **Recommendations** To resolve the issue, use `Files.createTempFile` instead of `File.createTempFile` to create temporary files with explicit permissions. As a temporary workaround, consider restricting access to the temporary directory until the issue is resolved. We recommend that all users upgrade to the latest version of Apache Storm.

**Name of the Vulnerable Software and Affected Versions** Apache Flink Stateful Functions versions 3.1.0 through 3.2.0 **Description** The issue allows remote attackers to inject arbitrary HTTP headers and conduct HTTP response splitting attacks via crafted HTTP requests. Attackers could potentially inject malicious content into the HTTP response that is sent to the user's browser. **Recommendations** For Apache Flink Stateful Functions versions 3.1.0 through 3.2.0, users should upgrade to Apache Flink Stateful Functions version 3.3.0.