Kritická zraniteľnosť v distribuovanej databáze Apache Ignite

February 20, 2025

Vývojári distribuovanej databázy Apache Ignite vydali bezpečnostné aktualizácie svojho produktu, ktoré opravujú kritickú zraniteľnosť. CVE-2024-52577 by vzdialený neautentifikovaný útočník mohol zneužiť na vzdialené vykonanie kódu.

Zraniteľné systémy:

Apache Ignite vo verziách 2.6.0 až po 2.17.0

Opis zraniteľnosti:

CVE-2024-52577 (CVSS v4.0 skóre 9,5)

Kritická zraniteľnosť spočíva v nedostatočnej implementácii Class Serialization Filters, ktoré sú na viacerých koncových bodoch Ignite ignorované, čo umožňuje deserializáciu nebezpečných objektov. Zraniteľnosť by vzdialený neautentifikovaný útočník zaslaním špeciálne vytvorených správ Ignite mohol zneužiť na vzdialené vykonanie kódu. Zneužitie zraniteľnosti vyžaduje, aby správy Ignite obsahovali zraniteľný objekt, ktorého trieda je prítomná v tzv. classpath zraniteľného Ignite servera.

Možné škody:

Vzdialené vykonanie kódu

Odporúčania:

Odporúčame vykonať bezodkladnú aktualizáciu zraniteľných Apache Ignite na verziu 2.17.0 alebo novšiu.

Zdroje: