PT-2022-1759 · Apache · Apache Shenyu

Yonglun Zhang · Publicado 2022-01-25 · Atualizado 2022-02-01 · CVE-2022-23944

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.4

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Apache ShenYu, versões 2.4.0 a 2.4.1

Descrição

O problema está relacionado à falta de autenticação em uma função crítica, permitindo que um invasor remoto contorne as restrições de segurança e acesse o endpoint “/plugin API” sem autenticação.

Recomendações

Para as versões 2.4.0 e 2.4.1 do Apache ShenYu, considere desativar o acesso ao endpoint “/plugin API” até que um patch esteja disponível.

Como solução temporária, restrinja o acesso ao endpoint “/plugin API” para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Missing Authentication

Missing Authorization

Enumeração de Fraquezas

CWE-306

CWE-862

Identificadores relacionados

BDU:2022-01057

CVE-2022-23944

GHSA-6V39-P2XQ-G5C3

Produtos afetados

Apache Shenyu

Referências · 13

• https://github.com/apache/incubator-shenyu/pull/2462 · Nota
• https://github.com/apache/shenyu/pull/2462/commits/50e4b5e626ad94b415e26ef4fbe584bd51fd1b77 · Nota
• https://github.com/apache/incubator-shenyu · Nota
• https://lists.apache.org/thread/dbrjnnlrf80dr0f92k5r2ysfvf1kr67y · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-23944 · Nota de Segurança
• https://bdu.fstec.ru/vul/2022-01057 · Nota de Segurança
• http://openwall.com/lists/oss-security/2022/01/25/15 · Nota
• http://openwall.com/lists/oss-security/2022/01/26/2 · Correção
• https://osv.dev/vulnerability/GHSA-6v39-p2xq-g5c3 · Aviso do Fabricante
• https://safe-surf.ru/upload/VULN/VULN-20220127.4.pdf · Nota de Segurança
• http://openwall.com/lists/oss-security/2022/01/25/5 · Nota
• https://osv.dev/vulnerability/CVE-2022-23944 · Aviso do Fabricante
• https://t.me/cibsecurity/36217 · Publicação no Telegram