PT-2020-14175 · Presto · Presto

Electrum · Publicado 2020-06-30 · Atualizado 2022-10-21 · CVE-2020-15087

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Presto anteriores à 337

Descrição

Usuários autenticados podem contornar as verificações de autorização acessando diretamente as APIs internas. Esse problema afeta instalações do servidor Presto com comunicação interna segura configurada. Não afeta instalações sem comunicação interna segura, pois estas são inerentemente inseguras. Este problema afeta apenas instalações do servidor Presto e não afeta clientes como a CLI ou o driver JDBC.

Recomendações

Para versões anteriores à 337, atualize para a versão 337 ou posterior para resolver o problema.

Como solução alternativa temporária, considere bloquear o acesso de rede às APIs internas no coordenador e nos workers para mitigar o risco de exploração.

Correção

Improper Authorization

Enumeração de Fraquezas

CWE-285

Identificadores relacionados

CVE-2020-15087

GHSA-F6PC-CRHH-CP96

Produtos afetados

Presto

Referências · 7

• https://github.com/prestosql/presto/security/advisories/GHSA-f6pc-crhh-cp96 · Nota
• https://github.com/trinodb/trino/security/advisories/GHSA-f6pc-crhh-cp96 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-15087 · Nota de Segurança
• https://trino.io/docs/current/release/release-337.html#security-changes · Aviso do Fabricante
• https://prestosql.io/docs/current/release/release-337.html#security-changes · Nota
• https://osv.dev/vulnerability/GHSA-f6pc-crhh-cp96 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-15087 · Aviso do Fabricante