PT-2021-17030 · Apache · Livy

Andras Beni · Publicado 2021-02-20 · Atualizado 2021-05-13 · CVE-2021-26544

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Livy versão 0.7.0-incubating

Descrição

O problema é uma falha de cross-site scripting no nome da sessão, permitindo que um usuário mal-intencionado acesse registros e resultados das sessões de outros usuários e execute tarefas com os privilégios deles.

Recomendações

Para a versão 0.7.0-incubating do Livy, atualize para a versão 0.7.1-incubating do Livy para resolver o problema.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-26544

GHSA-74QP-233X-P5J8

Produtos afetados

Livy

Referências · 9

• https://github.com/apache/incubator-livy/commit/4d8a912699683b973eee76d4e91447d769a0cb0d · Correção
• https://github.com/apache/incubator-livy/commit/9f1ba47a2f0d8accc435b133b42c3a76aa9ac846 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-26544 · Nota de Segurança
• https://t.me/cvenotify/10203 · Publicação no Telegram
• https://lists.apache.org/thread.html/r2db14e7fd1e5ec2519e8828d43529bad623d75698cc7918af3a3f3ed%40%3Cuser.livy.apache.org%3E · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-26544 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-74qp-233x-p5j8 · Aviso do Fabricante
• https://t.me/cibsecurity/23890 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2021/02/20/1 · Correção