PT-2021-22485 · Apache · Apache Ozone

Marton Elek · Publicado 2021-11-19 · Atualizado 2023-12-22 · CVE-2021-39235

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Ozone anteriores à 1.2.0

Descrição

O problema ocorre porque o Ozone Datanode no Apache Ozone não verifica o parâmetro de modo de acesso do token de bloco. Como resultado, usuários autenticados que possuam um token de bloco READ válido podem realizar qualquer operação de gravação no mesmo bloco.

Recomendações

Para versões anteriores à 1.2.0, atualize para a versão 1.2.0 ou posterior para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso ao token de bloco para impedir operações de gravação não autorizadas.

Correção

Incorrect Permission

Enumeração de Fraquezas

CWE-732

Identificadores relacionados

CVE-2021-39235

GHSA-C6J7-4FR9-C76P

Produtos afetados

Apache Ozone

Referências · 9

• https://github.com/apache/ozone · Nota
• http://openwall.com/lists/oss-security/2021/11/19/6 · Nota
• https://osv.dev/vulnerability/GHSA-c6j7-4fr9-c76p · Aviso do Fabricante
• https://t.me/cvenotify/64954 · Publicação no Telegram
• https://mail-archives.apache.org/mod_mbox/ozone-dev/202111.mbox/%3C93f88246-4320-7423-0dac-ec7a07f47455%40apache.org%3E · Aviso do Fabricante
• https://t.me/cvenotify/23460 · Publicação no Telegram
• https://t.me/cibsecurity/32680 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-39235 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-39235 · Nota de Segurança