PT-2021-22481 · Apache · Apache Ozone

Marton Elek · Publicado 2021-11-19 · Atualizado 2024-01-21 · CVE-2021-39231

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Ozone anteriores à 1.2.0

Descrição

A vulnerabilidade permite que um invasor acesse pontos de extremidade RPC internos entre servidores, possibilitando-lhe baixar dados brutos do Datanode e do Ozone Manager, bem como modificar a configuração de replicação do Ratis.

Recomendações

Para versões anteriores à 1.2.0, atualize para a versão 1.2.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso aos pontos de extremidade RPC internos entre servidores para minimizar o risco de exploração.

Correção

Missing Authorization

Exposure of Resource to Wrong Sphere

Enumeração de Fraquezas

CWE-862

CWE-668

Identificadores relacionados

CVE-2021-39231

GHSA-3W5H-X4RH-HC28

Produtos afetados

Apache Ozone

Referências · 10

• https://github.com/apache/ozone · Nota
• https://t.me/cibsecurity/32681 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-3w5h-x4rh-hc28 · Aviso do Fabricante
• https://mail-archives.apache.org/mod_mbox/ozone-dev/202111.mbox/%3C110cd117-75ed-364b-cd38-3effd20f2183%40apache.org%3E · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-39231 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-39231 · Nota de Segurança
• https://t.me/cvenotify/23481 · Publicação no Telegram
• https://t.me/cvenotify/23524 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2021/11/19/2 · Nota
• https://t.me/cvenotify/68146 · Publicação no Telegram