Vulnerabilidad en Apache Flume (CVE-2022-42468)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-20 Validación incorrecta de entrada

Fecha de publicación:

26/10/2022

Última modificación:

07/05/2025

Descripción

Apache Flume versiones 1.4.0 hasta 1.10.1, son vulnerables a un ataque de ejecución de código remota (RCE) cuando una configuración usa una fuente JMS con una providerURL no segura. Este problema es corregido al limitar JNDI para permitir sólo el uso del protocolo java o ningún protocolo

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto