PT-2024-30557 · Apollo · Apollo

Lakeswang · Publicado 2024-08-20 · Atualizado 2024-08-26 · CVE-2024-43397

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Apollo anteriores à 2.3.0

Descrição

Existe uma vulnerabilidade no recurso de configuração de sincronização que permite aos usuários criar solicitações específicas para contornar verificações de permissão, possibilitando que modifiquem um namespace sem as permissões necessárias.

Recomendações

Para versões anteriores à 2.3.0, atualize para a versão 2.3.0 para resolver o problema.

Como solução alternativa temporária, siga as práticas recomendadas para evitar que o Apollo fique exposto à internet.

Exploit

Correção

Improper Access Control

Enumeração de Fraquezas

CWE-284

Identificadores relacionados

CVE-2024-43397

GHSA-C6C3-H4F7-3962

Produtos afetados

Apollo

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/43xxx/CVE-2024-43397.json · Exploit
• https://github.com/apolloconfig/apollo · Nota
• https://github.com/apolloconfig/apollo/pull/5192 · Correção
• https://github.com/apolloconfig/apollo/security/advisories/GHSA-c6c3-h4f7-3962 · Aviso do Fabricante
• https://github.com/apolloconfig/apollo/commit/f55b419145bf9d4f2f51dd4cd45108229e8d97ed · Correção
• https://github.com/apolloconfig/apollo/releases/tag/v2.3.0 · Nota
• https://osv.dev/vulnerability/CVE-2024-43397 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-43397 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-c6c3-h4f7-3962 · Aviso do Fabricante
• https://t.me/cvedetector/3649 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1825914648815694262 · Publicação no Twitter