Kritické zraniteľnosti v produktoch Apache MINA, HugeGraph-Server  a Traffic Control

Vývojári z The Apache Software Foundation vydali bezpečnostné aktualizácie, ktoré opravujú kritické zraniteľnosti v produktoch Apache MINA, Apache HugeGraph-Server a Apache Traffic Control. CVE-2024-52046 v sieťovom aplikačnom frameworku MINA možno zneužiť na vzdialené vykonanie škodlivého kódu. CVE-2024-43441 v Apache HugeGraph-Server umožňuje získanie úplnej kontroly nad systémom a CVE-2024-45387 (Traffic Control) možno zneužiť na realizáciu SQL injekcie.

Zraniteľné systémy:

  • Apache MINA 2.0.X vo verziách starších ako 2.0.27
  • Apache MINA 2.1.X vo verziách starších ako 2.1.10
  • Apache MINA 2.2.X vo verziách starších ako 2.2.4
  • Apache HugeGraph-Server vo verziách 1.0.X starších ako 1.5.0
  • Apache Traffic Control vo verziách 8.0.X starších ako 8.0.2

Opis zraniteľnosti:

Apache MINA:

CVE-2024-52046 (CVSS 4.0 skóre 10,0)

CVE-2024-52046 v sieťovom aplikačnom frameworku MINA spočíva v nezabezpečenej, resp. neošetrenej deserializácii objektov Java v rámci funkcie ObjectSerializationDecoder a možno ju zneužiť na vzdialené vykonanie škodlivého kódu.

Apache HugeGraph-Server:

CVE-2024-43441 (CVSS skóre 9,8)

Apache HugeGraph-Server obsahuje zraniteľnosť s označením CVE-2024-43441, ktorú možno zneužiť na obídenie mechanizmov autentifikácie a získanie úplnej kontroly nad systémom.

Apache Traffic Control:

CVE-2024-45387 (CVSS skóre 9,9)

Traffic Ops obsahuje zraniteľnosť, ktorú by vzdialený autentifikovaný útočník s opráveniami úrovne „admin“, „federation“, „operations“, „portal“ alebo „steering“ mohol zaslaním špeciálne vytvorených požiadaviek HTTP PUT zneužiť na realizáciu SQL injekcie s následkom úplného narušenie dôvernosti, integrity a dostupnosti systému.

Možné škody:

  • Obídenie mechanizmov autentifikácie
  • Vzdialené vykonanie kódu
  • Získanie úplnej kontroly nad systémom

Odporúčania:

Bezodkladná aktualizácia Apache MINA, Apache HugeGraph-Server a Apache Traffic Control na verzie špecifikované v časti „Zraniteľné systémy“ tohto varovania.

Zdroje: