PT-2024-24251 · Apache · Apache Zeppelin

Esa Hiltunen · Publicado 2024-04-09 · Atualizado 2025-03-25 · CVE-2024-31863

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Zeppelin de 0.10.1 a 0.10.x anteriores à 0.11.0

A versão 0.10.1 do Apache Zeppelin não é a única afetada; a vulnerabilidade afeta todas as versões anteriores à 0.11.0. Portanto, a descrição correta é:

Versões do Apache Zeppelin anteriores à 0.11.0

Descrição

O problema é uma vulnerabilidade de contorno de autenticação por falsificação (spoofing), que pode ser explorada substituindo notas existentes no Apache Zeppelin.

Recomendações

Para versões anteriores à 0.11.0, atualize para a versão 0.11.0, que corrige o problema.

Correção

Authentication Bypass by Spoofing

Enumeração de Fraquezas

CWE-290

Identificadores relacionados

CVE-2024-31863

GHSA-M65C-WMW9-VMPP

Produtos afetados

Apache Zeppelin

Referências · 10

• https://github.com/apache/zeppelin · Nota
• https://github.com/apache/zeppelin/commit/f025a697c1d1d0264064d5adf6cb0b20d85041b6 · Nota
• https://osv.dev/vulnerability/GHSA-m65c-wmw9-vmpp · Aviso do Fabricante
• https://lists.apache.org/thread/3od2gfpwllmtc9c5ggw04ohn8s7w3ct9 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2024/04/09/6 · Nota
• https://t.me/cvenotify/116213 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-31863 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-31863 · Aviso do Fabricante
• https://t.me/cvenotify/76138 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1777677610392133725 · Publicação no Twitter