PT-2024-6649 · Apache+1 · Apache Avro+5

Kostya Kortchinsky · Publicado 2024-10-03 · Atualizado 2026-05-18 · CVE-2024-47561

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.2

Crítica

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do software vulnerável e versões afetadas:

Apache Avro versões 1.11.3 e anteriores

Apache Avro versões anteriores à 1.11.4

Bamboo Data Center e Server versões 9.2.1, 9.6.0 e 10.0.0-rc3

Versões 8.6.0, 8.7.0, 8.8.0, 8.9.0, 8.10.0, 8.11.0, 8.12.0, 8.13.0, 8.14.0, 8.15.0, 8.16.0, 8.17.0, 8.18.0, 8.19.0, 9.0.0, 9.1.0 e 9.2.0

Confluence Data Center e Server versão 6.5

Descrição:

A vulnerabilidade no Apache Avro Java SDK está relacionada à análise de esquemas, o que permite que agentes mal-intencionados executem código arbitrário. Esse problema afeta versões anteriores à 1.11.4 e pode ser explorado por invasores não autenticados, expondo potencialmente os ativos no ambiente à exploração. A vulnerabilidade tem baixo impacto sobre a confidencialidade, integridade e disponibilidade, e não requer interação do usuário. Recomenda-se atualizar para a versão 1.11.4 ou 1.12.0, que corrige este problema.

Recomendações:

Para as versões 1.11.3 e anteriores do Apache Avro, atualize para a versão 1.11.4 ou 1.12.0.

Para as versões 9.2.1, 9.6.0 e 10.0.0-rc3 do Bamboo Data Center e Server, atualize para uma versão igual ou superior a 9.2.20, 9.6.8 ou 10.0.3, respectivamente.

Para as versões 8.6.0, 8.7.0, 8.8.0, 8.9.0, 8.10.0, 8.11.0, 8.12.0, 8.13.0, 8.14.0, 8.15.0, 8.16.0, 8.17.0, 8.18.0, 8.19.0, 9.0.0, 9.1.0 e 9.2.0, atualize para uma versão igual ou superior a 8.9.21 ou 8.19.11, respectivamente.

Para as versões do Confluence Data Center e Server

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

BDU:2024-07817

CLEANSTART-2026-JW30455

CLEANSTART-2026-KP10590

CLEANSTART-2026-MM00120

CLEANSTART-2026-SQ91016

CLEANSTART-2026-WG59699

CLEANSTART-2026-WK99982

CVE-2024-47561

GHSA-R7PG-V2C8-MFG3

OESA-2024-2227

RHSA-2024:10207

RHSA-2024:10208

RHSA-2024:7811

Produtos afetados

Apache Avro

Bamboo

Bamboo Server

Bitbucket

Bitbucket Server

Confluence

Referências · 216

• https://github.com/apache/avro · Nota
• https://github.com/apache/avro/commit/8f89868d29272e3afea2ff8de8c85cb81a57d900 · Nota
• https://github.com/apache/avro/pull/2980 · Nota
• https://github.com/apache/avro/commit/f6b3bd7e50e6e09fedddb98c61558c022ba31285 · Nota
• https://github.com/apache/avro/pull/2934 · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-WG59699.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-KP10590.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-MM00120.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-WK99982.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-SQ91016.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-JW30455.json · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-3510 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-42577 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2023-40167 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-42583 · Nota de Segurança