PT-2022-26450 · Apache · Apache Flume

Nbxiglk · Publicado 2022-10-26 · Atualizado 2025-05-07 · CVE-2022-42468

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache Flume de 1.4.0 a 1.10.1

Descrição

A vulnerabilidade permite um ataque de execução remota de código (RCE) quando uma configuração utiliza uma fonte JMS com um providerURL não seguro. Isso ocorre porque a classe JMSSource é configurada com um parâmetro providerUrl, que realiza uma pesquisa JNDI sem validação, podendo levar à desserialização de dados não confiáveis.

Recomendações

Para as versões do Apache Flume 1.4.0 a 1.10.1, atualize para a versão 1.11.0 para corrigir o problema, limitando o JNDI para permitir apenas o uso do protocolo java ou nenhum protocolo.

Correção

RCE

Special Elements Injection

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-74

CWE-502

CWE-20

Identificadores relacionados

CVE-2022-42468

GHSA-9W4G-FP9H-3Q2V

Produtos afetados

Apache Flume

Referências · 10

• https://github.com/apache/flume · Nota
• https://github.com/apache/flume/commit/eee179a09df405c1ab55ae25a53b76ca1050bb97 · Nota
• https://t.me/cvenotify/121206 · Publicação no Telegram
• https://t.me/pentestingnews/29628 · Publicação no Telegram
• https://lists.apache.org/thread/1ckhmp539zr2nd2rs45pocpywk2d9zvz · Aviso do Fabricante
• https://lists.apache.org/thread/939wkx8o90bp6m2ht3t1sdyo1ncypl78 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-42468 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-42468 · Nota de Segurança
• https://issues.apache.org/jira/browse/FLUME-3437 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-9w4g-fp9h-3q2v · Aviso do Fabricante