Yan Nan

**Nome do Software Vulnerável e Versões Afetadas** Apache IoTDB versões 1.3.3 até 2.0.7 **Description** Existe um problema de consumo descontrolado de recursos onde certas interfaces não impõem limites razoáveis ao intervalo de tempo e ao intervalo de agregação das consultas. Um invasor pode enviar uma solicitação usando parâmetros extremos, como um intervalo de tempo muito grande combinado com um intervalo mínimo, forçando o DataNode a construir um conjunto de resultados enorme na memória. Isso leva ao esgotamento do heap do Java e faz com que o processo DataNode trave. **Recommendations** Atualizar para a versão 2.0.8.

**Nome do Software Vulnerável e Versões Afetadas** Apache IoTDB versões 1.3.3 até 2.0.7 **Description** Um problema de bypass de autenticação existe devido à validação insuficiente do parâmetro `sessionId` em certos manipuladores de consulta Thrift RPC. Um invasor pode forjar o `sessionId` para ignorar o processo de autenticação openSession, permitindo o acesso não autorizado e a leitura de dados de séries temporais. **Recommendations** Atualizar para a versão 2.0.8.

**Nome do Software Vulnerável e Versões Afetadas** Apache IoTDB versões 1.3.3 até 2.0.7 **Description** A interface RPC interna do Apache IoTDB DataNode utilizada para criar instâncias de Trigger não valida adequadamente o nome do JAR do Trigger enviado ao construir um caminho de arquivo. Se a porta RPC interna do DataNode estiver exposta a uma rede não confiável, um invasor pode usar sequências de path traversal no nome do JAR para gravar arquivos fora do diretório de instalação do Trigger pretendido. Isso permite a gravação arbitrária de arquivos com as permissões do processo IoTDB. **Recommendations** Atualizar para a versão 2.0.8.

**Nome do Software Vulnerável e Versões Afetadas** Apache IoTDB versões 1.0.0 até 1.3.5 Apache IoTDB versões 2.0.0 até 2.0.6 **Description** Limitação inadequada de um nome de caminho a um diretório restrito, também conhecida como Path Traversal, permite o acesso a arquivos ou diretórios fora da pasta restrita pretendida. **Recommendations** Atualizar para a versão 1.3.6. Atualizar para a versão 2.0.7.