PT-2024-24331 · Apache · Apache Streampipes

L0Ne1Y · Publicado 2024-07-17 · Atualizado 2024-08-01 · CVE-2024-31979

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache StreamPipes até a 0.93.0

Descrição

Existe uma vulnerabilidade do tipo Server-Side Request Forgery (SSRF) no Apache StreamPipes durante o processo de instalação de elementos do pipeline. O software permitia que os usuários configurassem pontos de extremidade personalizados para instalar elementos adicionais do pipeline, mas esses pontos de extremidade não eram validados adequadamente. Isso permitia que um invasor fizesse com que o StreamPipes enviasse uma solicitação HTTP GET para um endereço arbitrário.

Recomendações

Para as versões do Apache StreamPipes até a 0.93.0, atualize para a versão 0.95.0, que corrige o problema.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2024-31979

GHSA-9GR7-GH74-QG9X

PYSEC-2024-174

Produtos afetados

Apache Streampipes

Referências · 11

• https://github.com/apache/streampipes · Nota
• https://github.com/apache/streampipes/commit/cd5a7b46e3383573f0f2b51da4b7306d4936aa3f · Nota
• https://github.com/apache/streampipes/releases/tag/release%2F0.95.0 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/streampipes/PYSEC-2024-174.yaml · Nota
• https://t.me/cvedetector/1073 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2024-174 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-31979 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-31979 · Aviso do Fabricante
• https://lists.apache.org/thread/8lryp3bxnby9kmk13odkz2jbfdjfvf0y · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-9gr7-gh74-qg9x · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2024/07/16/11 · Nota