Vulnerabilidad en Apache Flume (CVE-2022-34916)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-20 Validación incorrecta de entrada

Fecha de publicación:

21/08/2022

Última modificación:

11/02/2023

Descripción

Apache Flume versiones 1.4.0 hasta 1.10.0, son vulnerables a un ataque de ejecución de código remota (RCE) cuando una configuración usa una fuente JMS con un URI de fuente de datos JNDI LDAP cuando un atacante presenta control del servidor LDAP de destino. Este problema es corregido al limitar JNDI para permitir sólo el uso del protocolo java o ningún protocolo.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto