PT-2024-27017 · Apache · Apache Allura

Truff + 1 · Publicado 2024-06-10 · Atualizado 2025-07-15 · CVE-2024-36471

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Apache Allura, versões 1.0.1 a 1.16.0

Descrição

A funcionalidade de importação está vulnerável a ataques de rebinding de DNS entre a verificação e o processamento da URL. Os administradores do projeto podem executar essas importações, o que poderia fazer com que o Allura lesse dados de serviços internos e os expusesse.

Recomendações

Para as versões 1.0.1 a 1.16.0, atualize para a versão 1.17.0 para corrigir o problema.

Se não for possível atualizar, defina disable entry points.allura.importers = forge-tracker, forge-discussion no arquivo de configuração .ini como uma solução alternativa temporária.

Correção

Information Disclosure

SSRF

RCE

Enumeração de Fraquezas

CWE-200

CWE-918

CWE-20

Identificadores relacionados

CVE-2024-36471

Produtos afetados

Apache Allura

Referências · 8

• https://osv.dev/vulnerability/CVE-2024-36471 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2024/06/10/1 · Nota
• https://t.me/cvenotify/129044 · Publicação no Telegram
• https://twitter.com/oss_security/status/1800203455442850011 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1800217328736477302 · Publicação no Twitter
• https://lists.apache.org/thread/g43164t4bcp0tjwt4opxyks4svm8kvbh · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1800290525683335534 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-36471 · Nota de Segurança