PT-2021-22486 · Apache · Apache Ozone

Marton Elek · Publicado 2021-11-19 · Atualizado 2023-12-22 · CVE-2021-39236

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache Ozone anteriores à 1.2.0

Descrição

A vulnerabilidade permite que usuários autenticados com credenciais válidas do Ozone S3 criem solicitações OM específicas, assumindo a identidade de qualquer outro usuário.

Recomendações

Para versões anteriores à 1.2.0, atualize para a versão 1.2.0 ou posterior para resolver o problema.

Exploit

Correção

Incorrect Authorization

Missing Authorization

Enumeração de Fraquezas

CWE-863

CWE-862

Identificadores relacionados

CVE-2021-39236

GHSA-5993-WWPG-M92C

Produtos afetados

Apache Ozone

Referências · 14

• 🔥 https://issues.apache.org/jira/browse/HDDS-4763 · Exploit
• https://github.com/apache/ozone · Nota
• https://github.com/apache/ozone/pull/1871 · Nota
• https://github.com/apache/ozone/commit/60e078729e18ef1be276f35659957ac553d266f7 · Nota
• https://osv.dev/vulnerability/GHSA-5993-wwpg-m92c · Aviso do Fabricante
• https://mail-archives.apache.org/mod_mbox/ozone-dev/202111.mbox/%3C0fd74baa-88a0-39a2-8f3a-b982acb25d5a%40apache.org%3E · Aviso do Fabricante
• https://lists.apache.org/thread/q0lhspolnwfbsw33w98b7b1923n1np4d · Nota
• https://t.me/cibsecurity/32677 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2021/11/19/7 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-39236 · Nota de Segurança
• https://t.me/cvenotify/23459 · Publicação no Telegram
• https://t.me/cvenotify/64955 · Publicação no Telegram
• https://t.me/cvenotify/62284 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-39236 · Aviso do Fabricante