PT-2024-35448 · Opencast+1 · Opencast+1
Adilagha Aliyev
·
Publicado
2024-11-20
·
Atualizado
2025-10-28
·
CVE-2024-52797
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
Versões do Opencast anteriores à 13.10
Versões do Opencast anteriores à 14.3
Descrição
A integração do Opencast com o Elasticsearch pode gerar consultas ao Elasticsearch sintaticamente inválidas, fazendo com que o mecanismo de repetição comece a reenviar imediatamente a mesma consulta sintaticamente inválida, em um loop infinito. Isso leva a um aumento maciço no tamanho do log, podendo causar uma negação de serviço devido ao esgotamento do disco. O problema pode ser facilmente desencadeado por tarefas administrativas normais em um sistema Opencast afetado.
Recomendações
Para versões do Opencast anteriores à 13.10, atualize para a versão 13.10 ou posterior para resolver o problema de base.
Para versões do Opencast anteriores à 14.3, atualize para a versão 14.3 ou posterior para resolver o problema de base.
Se estiver executando uma versão mais recente que a 13.10 e a 14.3 e observando resultados diferentes ao pesquisar na interface de usuário administrativa em comparação com a API externa ou o LMS, atualize para a versão 16.7 para harmonizar o comportamento da pesquisa.
Como solução alternativa temporária, considere restringir o acesso aos endpoints
ROLE ADMIN ou ROLE API SERIES VIEW para minimizar o risco de exploração.Não há outras soluções alternativas disponíveis para este problema.
Exploit
Correção
DoS
Allocation of Resources Without Limits
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Elasticsearch
Opencast