PT-2025-16173 · Apache · Apache Seatunnel

Liyiwei + 1 · Publicado 2025-04-12 · Atualizado 2025-06-20 · CVE-2025-32896

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Apache SeaTunnel <=2.3.10

Descrição Usuários não autorizados podem realizar ataques de Leitura Arbitrária de Arquivos e Desserialização ao submeter um job usando a restful api-v1. Um invasor pode acessar o endpoint /hazelcast/rest/maps/submit-job para submeter um job e definir parâmetros extras na URL do MySQL para realizar o ataque.

Recomendações Para as versões do Apache SeaTunnel <=2.3.10, recomenda-se aos usuários atualizar para a versão 2.3.11 e habilitar a restful api-v2 e a autenticação mútua HTTPS, o que corrige o problema. Como solução temporária, considere restringir o acesso ao endpoint /hazelcast/rest/maps/submit-job até que o problema seja resolvido.

Correção

RCE

Missing Authentication

Improper Authentication

Enumeração de Fraquezas

CWE-306

CWE-287

Identificadores relacionados

BDU:2025-05056

CVE-2025-32896

GHSA-9X53-GR7P-4QF5

Produtos afetados

Apache Seatunnel

Referências · 22

• https://github.com/apache/seatunnel/pull/9010 · Correção
• https://github.com/apache/seatunnel/commit/53325aa3e76e3939f41a4bf3eaaf3ee56f13f311 · Nota
• https://github.com/apache/seatunnel · Nota
• https://t.me/purp_sec/504 · Publicação no Telegram
• https://twitter.com/Dinosn/status/1911268394294231215 · Publicação no Twitter
• https://twitter.com/fletch_ai/status/1912038320584237559 · Publicação no Twitter
• https://twitter.com/oss_security/status/1911066896452944203 · Publicação no Twitter
• https://twitter.com/dailytechonx/status/1936204919612002393 · Publicação no Twitter
• https://lists.apache.org/thread/s2dw28t4p0q6t3k0qoqnm18t6pt04pyt · Nota
• https://twitter.com/CVEnew/status/1935723252271436042 · Publicação no Twitter
• https://lists.apache.org/thread/qvh3zyt1jr25rgvw955rb8qjrnbxfro9 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-32896 · Aviso do Fabricante
• https://twitter.com/the_yellow_fall/status/1911235638109823122 · Publicação no Twitter
• https://twitter.com/PaxionCyber/status/1936023017907519935 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-32896 · Nota de Segurança