PT-2024-23070 · Apache · Apache Dolphinscheduler

L0Ne1Y + 2 · Publicado 2024-08-09 · Atualizado 2024-08-16 · CVE-2024-29831

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache DolphinScheduler anteriores à 3.2.2

Descrição

O problema está relacionado a uma validação inadequada de entradas, permitindo que um usuário autenticado execute código JavaScript arbitrário e fora do ambiente sandbox no servidor. Isso pode potencialmente levar à execução remota de código.

Recomendações

Para versões anteriores à 3.2.2, atualize para a versão 3.2.2 para resolver o problema. Se você estiver usando o plugin switch task, atualize para a versão 3.2.2. Como solução alternativa temporária, considere restringir o acesso ao plugin switch task até que a atualização seja aplicada.

Correção

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2024-29831

GHSA-M9Q4-P56M-MC6Q

Produtos afetados

Apache Dolphinscheduler

Referências · 11

• https://github.com/apache/dolphinscheduler · Nota
• https://osv.dev/vulnerability/GHSA-m9q4-p56m-mc6q · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-29831 · Nota de Segurança
• https://twitter.com/cracbot/status/1823600490166542838 · Publicação no Twitter
• https://twitter.com/cracbot/status/1823238147045802453 · Publicação no Twitter
• https://twitter.com/cracbot/status/1823962883673481561 · Publicação no Twitter
• https://twitter.com/cracbot/status/1824325278333800590 · Publicação no Twitter
• https://lists.apache.org/thread/x1ch0x5om3srtbnp7rtsvdszho3mdrq0 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-29831 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2024/08/09/6 · Nota
• https://twitter.com/oktsec/status/1824434475389886943 · Publicação no Twitter