PT-2021-19472 · Cloudera · Cloudera Data Engineering

Publicado 2021-03-15 · Atualizado 2021-03-18 · CVE-2021-3167

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Cloudera Data Engineering versão 1.3.0

Descrição

O problema diz respeito à exposição de tokens de autenticação JWT aos administradores nos logs do servidor do cluster virtual. Isso afeta o Cloudera Data Engineering, onde informações confidenciais são registradas inadvertidamente, o que pode permitir o acesso não autorizado.

Recomendações

Para o Cloudera Data Engineering versão 1.3.0, considere restringir o acesso aos logs do servidor de cluster virtual para minimizar o risco de exploração e revise as configurações de log para impedir o registro de tokens de autenticação confidenciais. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Insertion into Log File

Enumeração de Fraquezas

CWE-532

Identificadores relacionados

CVE-2021-3167

Produtos afetados

Cloudera Data Engineering

Referências · 6

• https://docs.cloudera.com/data-engineering/cloud/release-notes/topics/cde-general-known-issues.html · Aviso do Fabricante
• https://docs.cloudera.com/documentation/other/security-bulletins/topics/Security-Bulletin.html · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-3167 · Aviso do Fabricante
• https://t.me/cibsecurity/24905 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-3167 · Nota de Segurança
• https://my.cloudera.com/knowledge/TSB-2021-466-CDE-authentication-tokens-exposed-in-pod-and?id=310163 · Aviso do Fabricante