PT-2022-21352 · Apache · Apache Bookkeeper Java Client

Enrico Olivelli · Publicado 2022-12-15 · Atualizado 2023-07-18 · CVE-2022-32531

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Bookkeeper Java Client anteriores à 4.14.6 e à 4.15.1

Descrição

O Apache Bookkeeper Java Client não encerra a conexão com o servidor Bookkeeper quando a verificação do nome do host via TLS falha, deixando-o vulnerável a um ataque man-in-the-middle.

Recomendações

Para versões anteriores à 4.14.6 e 4.15.1, atualize para a versão 4.14.6 ou 4.15.1 ou posterior para resolver o problema. Como solução temporária, considere desativar as conexões TLS com o servidor Bookkeeper até que um patch seja aplicado. Restrinja o acesso ao servidor Bookkeeper para minimizar o risco de exploração.

Correção

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

CVE-2022-32531

GHSA-GXQ5-79M2-GVVQ

PYSEC-2022-43060

ROSA-SA-2023-2196

Produtos afetados

Apache Bookkeeper Java Client

Referências · 10

• https://github.com/apache/bookkeeper · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-bookkeeper-client/PYSEC-2022-43060.yaml · Nota
• https://osv.dev/vulnerability/PYSEC-2022-43060 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2022-32531 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-32531 · Aviso do Fabricante
• https://lists.apache.org/thread/xyk2lfc7lzof8mksmwyympbqxts1b5s9 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-gxq5-79m2-gvvq · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-32531 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-32531 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-32531 · Nota de Segurança