PT-2020-13356 · Aerospike · Aerospike Community Edition
CVE-2020-13151
·
Publicado
2020-08-05
·
Atualizado
2023-01-28
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Aerospike Community Edition versão 4.9.0.5
Descrição
A vulnerabilidade permite o envio e a execução sem autenticação de funções definidas pelo usuário (UDFs), escritas em Lua, como parte de uma consulta ao banco de dados. Embora tente restringir a execução de código desativando chamadas a
os.execute(), essa restrição é insuficiente. Como resultado, qualquer pessoa com acesso à rede pode usar uma UDF maliciosa para executar comandos arbitrários do sistema operacional em todos os nós do cluster, no nível de permissão do usuário que está executando o serviço Aerospike.Recomendações
Para a Aerospike Community Edition versão 4.9.0.5, considere desativar a execução de funções definidas pelo usuário (UDFs) até que um patch esteja disponível para impedir a execução de comandos arbitrários do sistema operacional. Restrinja o acesso à funcionalidade de consulta ao banco de dados para minimizar o risco de exploração. Evite usar UDFs criadas especificamente no endpoint de consulta ao banco de dados afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Aerospike Community Edition