Vulnerabilidad en Apache Druid (CVE-2024-45384)
Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
17/09/2024
Última modificación:
14/03/2025
Descripción
Vulnerabilidad de relleno de Oracle en la extensión de Apache Druid, druid-pac4j. Esto podría permitir que un atacante manipule una cookie de sesión de pac4j. Este problema afecta a las versiones de Apache Druid 0.18.0 a 30.0.0. Dado que la extensión druid-pac4j es opcional y está deshabilitada de forma predeterminada, las instalaciones de Druid que no utilicen la extensión druid-pac4j no se ven afectadas por esta vulnerabilidad. Si bien no conocemos una forma de explotar significativamente esta falla, recomendamos actualizar a la versión 30.0.1 o superior que soluciona el problema y asegurarse de tener una contraseña de cookie druid.auth.pac4j. segura como medida de precaución.
Impacto
Puntuación base 3.x
5.30
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:apache:druid:*:*:*:*:*:*:*:* | 0.18.0 (incluyendo) | 30.0.1 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página