PT-2024-13610 · Apache · Apache Seatunnel

Jiahua Huang + 1 · Publicado 2024-07-30 · Atualizado 2025-07-10 · CVE-2023-48396

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Apache SeaTunnel versão 1.0.0

Descrição

O problema está relacionado a uma vulnerabilidade de autenticação na Web no Apache SeaTunnel, na qual a chave jwt está codificada de forma estática no aplicativo. Isso permite que um invasor falsifique qualquer token e faça login como qualquer usuário. O invasor pode obter a chave secreta em /seatunnel-server/seatunnel-app/src/main/resources/application.yml e, em seguida, criar um token.

Recomendações

Para o Apache SeaTunnel versão 1.0.0, recomenda-se que os usuários atualizem para a versão 1.0.1, que corrige o problema. Como solução alternativa temporária, considere restringir o acesso ao arquivo /seatunnel-server/seatunnel-app/src/main/resources/application.yml para impedir que invasores obtenham a chave secreta.

Correção

Authentication Bypass by Spoofing

Enumeração de Fraquezas

CWE-290

Identificadores relacionados

CVE-2023-48396

GHSA-CP2C-X2PC-FPH7

Produtos afetados

Apache Seatunnel

Referências · 10

• https://github.com/apache/seatunnel · Nota
• https://github.com/apache/seatunnel-web/commit/4a37ebfa4b57e177bf7857cf39a6dbdc00f75f78 · Nota
• https://lists.apache.org/thread/1tdxfjksx0vb9gtyt77wlr6rdcy1qwmw · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2023-48396 · Nota de Segurança
• https://t.me/cvedetector/2030 · Publicação no Telegram
• https://t.me/cvenotify/128416 · Publicação no Telegram
• https://t.me/cvenotify/87892 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-cp2c-x2pc-fph7 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2024/07/30/1 · Nota
• https://osv.dev/vulnerability/CVE-2023-48396 · Aviso do Fabricante