Vulnerabilidad en Apache Druid (CVE-2024-45384)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

17/09/2024

Última modificación:

14/03/2025

Descripción

Vulnerabilidad de relleno de Oracle en la extensión de Apache Druid, druid-pac4j. Esto podría permitir que un atacante manipule una cookie de sesión de pac4j. Este problema afecta a las versiones de Apache Druid 0.18.0 a 30.0.0. Dado que la extensión druid-pac4j es opcional y está deshabilitada de forma predeterminada, las instalaciones de Druid que no utilicen la extensión druid-pac4j no se ven afectadas por esta vulnerabilidad. Si bien no conocemos una forma de explotar significativamente esta falla, recomendamos actualizar a la versión 30.0.1 o superior que soluciona el problema y asegurarse de tener una contraseña de cookie druid.auth.pac4j. segura como medida de precaución.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno