Vulnerabilidad en Apache Ambari (CVE-2023-50380)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-611 Restricción incorrecta de referencia a entidad externa XML (XXE)

Fecha de publicación:

27/02/2024

Última modificación:

27/03/2025

Descripción

Inyección de entidad externa XML en versiones de Apache Ambari &lt;= 2.7.7. Se recomienda a los usuarios actualizar a la versión 2.7.8, que soluciona este problema. Más detalles: Oozie Workflow Scheduler tenía una vulnerabilidad que permitía la lectura de archivos a nivel raíz y la escalada de privilegios de usuarios con pocos privilegios. La vulnerabilidad se debió a la falta de una validación adecuada de la entrada del usuario. Esta vulnerabilidad se conoce como ataque de inyección de entidad externa XML (XXE). Los atacantes pueden aprovechar las vulnerabilidades de XXE para leer archivos arbitrarios en el servidor, incluidos archivos confidenciales del sistema. En teoría, podría ser posible utilizar esto para aumentar los privilegios.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno