PT-2024-2664 · Apache · Apache Aurora

Duc Nguyen + 1 · Publicado 2024-02-27 · Atualizado 2025-07-10 · CVE-2024-27905

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.3

Crítica

Vetor base

AV:N/AC:M/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Apache Aurora (versões afetadas não especificadas)

Descrição

O problema está relacionado à exposição de informações confidenciais. Um endpoint que expõe dados internos a usuários não autenticados pode ser usado como um “padding oracle”, permitindo que um invasor anônimo crie um cookie de autenticação válido. Isso poderia, potencialmente, ser combinado com vulnerabilidades em outros componentes para permitir a execução remota de código. O projeto foi descontinuado e não há planos para uma correção.

Recomendações

Como o projeto foi descontinuado e nenhuma versão com correção será lançada, recomenda-se que os usuários busquem uma alternativa.

Restrinja o acesso à instância a usuários confiáveis para minimizar o risco de exploração.

Correção

RCE

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

BDU:2024-02738

CVE-2024-27905

Produtos afetados

Apache Aurora

Referências · 17

• https://cybersecurity-help.cz/vdb/SB2024030146 · Nota
• https://t.me/cvenotify/87439 · Publicação no Telegram
• https://openwall.com/lists/oss-security/2024/02/27/3 · Nota
• https://lists.apache.org/thread/564kbv3wqdzkscmdn2bg4vlk48qymryp · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2024-02738 · Nota de Segurança
• https://t.me/cvenotify/80159 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2024/02/27/3 · Nota
• https://t.me/cvenotify/79727 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-27905 · Aviso do Fabricante
• https://t.me/cvenotify/128319 · Publicação no Telegram
• https://vuldb.com/?id.254895 · Nota
• https://twitter.com/VulmonFeeds/status/1762493244103889208 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1762487483550367834 · Publicação no Twitter
• https://twitter.com/oss_security/status/1762514325237850489 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-27905 · Nota de Segurança