PT-2024-28740 · Apache · Apache Linkis+2

Hen + 1 · Publicado 2024-09-24 · Atualizado 2024-09-30 · CVE-2024-39928

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Apache Linkis, versões 1.3.0 a 1.5.0

Descrição

Existe uma vulnerabilidade de segurança relacionada a strings aleatórias no Spark EngineConn, na qual a string aleatória gerada pelo Token ao iniciar o Py4j utiliza o RandomStringUtils do Commons Lang.

Recomendações

Para as versões 1.3.0 a 1.5.0 do Apache Linkis, atualize para a versão 1.6.0 para corrigir este problema.

Correção

Inadequate Encryption Strength

Enumeração de Fraquezas

CWE-326

Identificadores relacionados

CVE-2024-39928

GHSA-6GCH-63WP-4V5F

Produtos afetados

Apache Linkis

Commons Lang

Spark Engineconn

Referências · 12

• https://github.com/apache/linkis · Nota
• https://github.com/apache/linkis/commit/82c2f4b201b746e9206bb58ef98f536fc333aa07 · Nota
• https://lists.apache.org/thread/g664n13nb17rsogcfrn8kjgd8m89p8nw · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1838483361809027084 · Publicação no Twitter
• https://twitter.com/cracbot/status/1839183236557320622 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-6gch-63wp-4v5f · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-39928 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-39928 · Aviso do Fabricante
• https://twitter.com/oss_security/status/1838597110645526588 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1838582187165204799 · Publicação no Twitter
• https://twitter.com/cracbot/status/1840632726791340499 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2024/09/24/2 · Nota