PT-2024-26940 · Apache · Apache Submarine Commons Utils

Jonathan Leitschuh + 1 · Publicado 2024-06-12 · Atualizado 2024-10-15 · CVE-2024-36264

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Apache Submarine Commons Utils, versões 0.8.0 e posteriores

Descrição

O problema está relacionado a uma vulnerabilidade de autenticação inadequada no Apache Submarine Commons Utils. Se o usuário não definir explicitamente submarine.auth.default.secret, será utilizado um valor padrão. Essa vulnerabilidade afeta apenas produtos que não são mais suportados pelo mantenedor. Como o projeto foi descontinuado, nenhuma correção será lançada.

Recomendações

Para o Apache Submarine Commons Utils versões 0.8.0 e posteriores, recomenda-se que os usuários busquem uma alternativa ou restrinjam o acesso à instância a usuários confiáveis.

Correção

Improper Authentication

Using Hardcoded Credentials

Enumeração de Fraquezas

CWE-287

CWE-798

Identificadores relacionados

CVE-2024-36264

GHSA-JWCG-WV5X-VG3G

PYSEC-2024-97

Produtos afetados

Apache Submarine Commons Utils

Referências · 17

• https://github.com/apache/submarine/pull/1125 · Aviso do Fabricante, Correção
• https://github.com/apache/submarine · Nota
• https://github.com/apache/submarine/commit/7a1d551798c6785fc68fe028fc46f74c3ee6976d · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/apache-submarine/PYSEC-2024-97.yaml · Nota
• https://t.me/cvenotify/88441 · Publicação no Telegram
• https://lists.apache.org/thread/7mo0c7vbhpo8thvybl8wwvb0bccrg7r4 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-36264 · Nota de Segurança
• https://t.me/cvenotify/83010 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-jwcg-wv5x-vg3g · Aviso do Fabricante
• https://t.me/cvenotify/83068 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2024/06/12/2 · Nota
• https://issues.apache.org/jira/browse/SUBMARINE-1417 · Nota
• https://t.me/cvenotify/97978 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-36264 · Aviso do Fabricante
• https://t.me/cvenotify/83021 · Publicação no Telegram