PT-2024-12779 · Apache · Apache Ozone

István Fajth · Publicado 2024-02-07 · Atualizado 2024-02-16 · CVE-2023-39196

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões 1.2.0 a 1.3.0 do Apache Ozone

Descrição

A vulnerabilidade permite que um invasor baixe metadados internos do serviço Storage Container Manager sem a devida autenticação. O invasor não tem permissão para realizar quaisquer modificações no serviço Ozone Storage Container Manager utilizando essa vulnerabilidade. Os metadados acessíveis não contêm informações confidenciais que possam ser usadas para explorar o sistema posteriormente, e os dados acessíveis não permitem obter acesso aos dados reais dos usuários dentro do Ozone.

Recomendações

Para as versões 1.2.0 a 1.3.0 do Apache Ozone, atualize para a versão 1.4.0, que corrige a vulnerabilidade.

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2023-39196

GHSA-6726-2RX3-CGWH

Produtos afetados

Apache Ozone

Referências · 9

• https://github.com/apache/ozone · Nota
• https://lists.apache.org/thread/o96ct5t7kj5cgrmmfc6756m931t08nky · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-6726-2rx3-cgwh · Aviso do Fabricante
• https://twitter.com/oss_security/status/1755215959139189100 · Publicação no Twitter
• https://t.me/cvenotify/70374 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2023-39196 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1755218849576730771 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2024/02/07/2 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2023-39196 · Nota de Segurança