PT-2024-5776 · Apache+2 · Apache Zookeeper+2
周吉安
+1
·
Publicado
2024-03-14
·
Atualizado
2026-05-18
·
CVE-2024-23944
CVSS v2.0
6.8
Média
| Vetor | AV:N/AC:L/Au:S/C:C/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões do Apache ZooKeeper anteriores à 3.9.2
Versões do Apache ZooKeeper anteriores à 3.8.4
Descrição
O problema está relacionado à divulgação de informações no tratamento de observadores persistentes no Apache ZooKeeper, devido à falta de verificação de ACL. Isso permite que um invasor monitore znodes filhos anexando um observador persistente (comando addWatch) a um pai ao qual o invasor já tenha acesso. O servidor ZooKeeper não realiza verificação de ACL quando o observador persistente é acionado e, como consequência, o caminho completo dos znodes nos quais um evento de observação é acionado fica exposto ao proprietário do observador. Apenas o caminho é exposto por essa vulnerabilidade, não os dados do znode, mas como o caminho do znode pode conter informações confidenciais, como nome de usuário ou ID de login, esse problema é potencialmente crítico. Aproximadamente 83.109 dispositivos estão potencialmente afetados, distribuídos principalmente na China e nos Estados Unidos.
Recomendações
Para resolver o problema, atualize para a versão 3.9.2 ou 3.8.4, que corrige a falha.
Como solução temporária, considere restringir o acesso ao comando
addWatch para minimizar o risco de exploração.Evite usar informações confidenciais nos caminhos dos znodes até que o problema seja resolvido.
Correção
Missing Authorization
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Apache Zookeeper
Debian
Red Os