PT-2024-20490 · Apache · Apache Hop Engine
Jonathan Leitschuh
·
Publicado
2024-03-18
·
Atualizado
2025-07-15
·
CVE-2024-24683
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do Apache Hop Engine anteriores à 2.8.0
Descrição
O problema está relacionado à validação inadequada de entradas no Apache Hop Engine, afetando especificamente o componente Hop Server. Quando o Hop Server grava links na página PrepareExecutionPipelineServlet, um dos parâmetros fornecidos ao usuário, o
id, não é escapado corretamente. Isso torna baixo o risco de exploração dessa vulnerabilidade, já que o id não é diretamente acessível aos usuários que criam pipelines. O problema não afeta diretamente o cliente.Recomendações
Para versões do Apache Hop Engine anteriores à 2.8.0, recomenda-se que os usuários atualizem para a versão 2.8.0, que corrige a vulnerabilidade. Como solução alternativa temporária, considere restringir o acesso à página PrepareExecutionPipelineServlet até que a atualização seja aplicada. Além disso, os usuários podem minimizar o risco de exploração tomando cuidado ao criar pipelines e evitando qualquer manipulação potencial da variável
id.Correção
RCE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Apache Hop Engine