PT-2024-11900 · Apollo · Apollo

Puppy · Publicado 2024-01-12 · Atualizado 2024-08-03 · CVE-2022-4962

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões 2.0.0 a 2.0.1 do Apollo

Descrição

Foi identificada uma vulnerabilidade no componente Configuration Center, afetando alguma funcionalidade desconhecida do arquivo /users. Esse problema leva a uma autorização inadequada e pode ser explorado remotamente. A exploração já foi divulgada ao público. A existência dessa vulnerabilidade ainda é contestada. O mantenedor observa que dados do usuário, como user id, name e email, não são considerados confidenciais.

Recomendações

Para as versões 2.0.0 a 2.0.1 do Apollo, considere restringir o acesso ao arquivo /users no componente Configuration Center como uma solução temporária até que orientações adicionais estejam disponíveis.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Improper Authorization

Enumeração de Fraquezas

CWE-285

Identificadores relacionados

CVE-2022-4962

Produtos afetados

Apollo

Referências · 8

• 🔥 https://github.com/apolloconfig/apollo/issues/4684 · Exploit
• https://t.me/cvenotify/67336 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-4962 · Aviso do Fabricante
• https://vuldb.com/?ctiid.250430 · Nota
• https://twitter.com/CVEnew/status/1745932393691660602 · Publicação no Twitter
• https://t.me/cvenotify/68225 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-4962 · Nota de Segurança
• https://vuldb.com/?id.250430 · Nota