PT-2022-17019 · Apache · Apache Dubbo

Publicado 2022-06-06 · Atualizado 2022-06-15 · CVE-2022-24969

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Dubbo anteriores à 2.6.12 e à 2.7.15

Descrição

O problema decorre do uso do método parseURL, o que pode levar à contornamento da verificação de host permitido. Isso pode causar problemas de redirecionamento aberto ou falsificação de solicitação do lado do servidor (SSRF). O SSRF ocorre quando um invasor consegue manipular um servidor para que ele faça solicitações não autorizadas, o que pode levar ao acesso a dados ou sistemas confidenciais.

Recomendações

Para versões anteriores à 2.6.12, atualize para a versão 2.6.12 ou posterior.

Para versões anteriores à 2.7.15, atualize para a versão 2.7.15 ou posterior.

Correção

Open Redirect

SSRF

Enumeração de Fraquezas

CWE-601

CWE-918

Identificadores relacionados

CVE-2022-24969

GHSA-GM48-83X4-84JG

Produtos afetados

Apache Dubbo

Referências · 7

• https://osv.dev/vulnerability/CVE-2022-24969 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-24969 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2021-25640 · Nota de Segurança
• https://lists.apache.org/thread/1xbckc3467wfk5r7n2o44r2brdsbwxgr · Nota
• https://github.com/advisories/GHSA-gw4j-4229-q4px · Nota
• https://t.me/cibsecurity/44120 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-gm48-83x4-84jg · Aviso do Fabricante