PT-2020-14243 · Apollo · Apollo-Adminservice

Lexu · Publicado 2020-09-10 · Atualizado 2021-11-18 · CVE-2020-15170

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.0

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:H/A:L

Nome do software vulnerável e versões afetadas

Versões do apollo-adminservice anteriores à 1.7.1

Descrição

O problema surge quando o apollo-adminservice é exposto à Internet, o que não é recomendado, pois ele foi projetado para funcionar em uma intranet e não possui controles de acesso integrados. Isso poderia permitir que hackers mal-intencionados acessassem diretamente as APIs do apollo-adminservice, potencialmente acessando ou editando as configurações do aplicativo.

Recomendações

Para versões anteriores à 1.7.1, para corrigir o problema potencial sem atualizar, basta seguir a recomendação de não expor o apollo-adminservice à Internet.

Para a versão 1.7.1 e posteriores, não são necessárias ações adicionais, pois o controle de acesso para o serviço de administração foi adicionado nesta versão.

Correção

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2020-15170

GHSA-XPMX-H7XQ-XFFH

Produtos afetados

Apollo-Adminservice

Referências · 6

• https://github.com/ctripcorp/apollo/security/advisories/GHSA-xpmx-h7xq-xffh · Nota
• https://github.com/ctripcorp/apollo/pull/3233/commits/ae9ba6cfd32ed80469f162e5e3583e2477862ddf · Correção
• https://github.com/ctripcorp/apollo · Nota
• https://osv.dev/vulnerability/CVE-2020-15170 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-15170 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-xpmx-h7xq-xffh · Aviso do Fabricante