PT-2024-31590 · Apache · Apache Druid

Mr-N30 · Publicado 2024-09-17 · Atualizado 2024-10-02 · CVE-2024-45384

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Druid de 0.18.0 a 30.0.0

Descrição

O problema é uma vulnerabilidade do tipo Padding Oracle na extensão do Apache Druid, druid-pac4j, que poderia permitir que um invasor manipulasse um cookie de sessão pac4j. Como a extensão druid-pac4j é opcional e desativada por padrão, as instalações do Druid que não utilizam a extensão druid-pac4j não são afetadas por este problema. Embora não haja nenhuma maneira conhecida de explorar essa falha de forma significativa, recomenda-se tomar precauções.

Recomendações

Para as versões 0.18.0 a 30.0.0 do Apache Druid, atualize para a versão 30.0.1 ou superior para corrigir o problema.

Certifique-se de definir uma senha forte para druid.auth.pac4j.cookiePassphrase como precaução.

Correção

Generation of Error Message Containing Sensitive Information

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-209

CWE-347

Identificadores relacionados

CVE-2024-45384

GHSA-P72W-R6FV-6G5H

Produtos afetados

Apache Druid

Referências · 13

• https://github.com/apache/druid · Nota
• https://github.com/apache/druid/releases/tag/druid-30.0.1 · Nota
• https://github.com/apache/druid/commit/74cab7a76c99da457c3a883939cc0b03301b8771 · Nota
• https://twitter.com/CVEnew/status/1836116166005166136 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-45384 · Nota de Segurança
• http://openwall.com/lists/oss-security/2024/09/17/1 · Nota
• https://osv.dev/vulnerability/GHSA-p72w-r6fv-6g5h · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-45384 · Aviso do Fabricante
• https://t.me/cvenotify/96802 · Publicação no Telegram
• https://t.me/cvedetector/5837 · Publicação no Telegram
• https://lists.apache.org/thread/gr94fnp574plb50lsp8jw4smvgv1lbz1 · Aviso do Fabricante
• https://twitter.com/mr_n30/status/1839689717169746338 · Publicação no Twitter
• https://twitter.com/oss_security/status/1836164092937052497 · Publicação no Twitter