PT-2024-13606 · Apache · Apache Drill

Yuzhe Huang · Publicado 2024-07-24 · Atualizado 2024-09-10 · CVE-2023-48362

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache Drill de 1.19.0 a 1.21.1

Descrição

A falha permite que um usuário leia qualquer arquivo em um sistema de arquivos remoto ou execute comandos por meio de um arquivo XML malicioso. Isso se deve a uma vulnerabilidade XXE no plugin de formato XML.

Recomendações

Para as versões 1.19.0 a 1.21.1 do Apache Drill, atualize para a versão 1.21.2 para corrigir o problema.

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2023-48362

GHSA-V62G-JWJ9-RFVX

Produtos afetados

Apache Drill

Referências · 11

• https://github.com/apache/drill/commit/0e88b7a5101d24c561a2a3efb12d7a3b3f7933f3 · Nota
• https://github.com/apache/drill · Nota
• https://t.me/cvenotify/87214 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2023-48362 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2023-48362 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-v62g-jwj9-rfvx · Aviso do Fabricante
• https://lists.apache.org/thread/9tt0q4bdjwgw0dz0l9knqxjnpb5y6zsl · Aviso do Fabricante
• https://issues.apache.org/jira/browse/DRILL-8461 · Nota
• http://openwall.com/lists/oss-security/2024/07/24/3 · Nota
• https://t.me/cvenotify/94033 · Publicação no Telegram
• https://t.me/cvedetector/1553 · Publicação no Telegram