PT-2020-15191
CVE-2020-1958
·
Publicado
2020-04-01
·
Atualizado
2022-04-06
Descrição por
CVSS 3.1
6.5
MédiaMétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
Apache Druid versão 0.17.0
Descrição
A vulnerabilidade permite que chamadores das APIs do Druid com credenciais LDAP válidas contornem o filtro
credentialsValidator.userSearch, que determina se um usuário LDAP válido pode se autenticar no Druid. Embora as verificações de autorização baseadas em funções ainda se apliquem, se configuradas, os chamadores também podem recuperar quaisquer valores de atributos LDAP visíveis dos usuários no servidor LDAP sem a necessidade de serem eles próprios usuários LDAP válidos.Recomendações
Para a versão 0.17.0 do Apache Druid, considere desativar a autenticação LDAP até que um patch esteja disponível para impedir a contornagem do filtro
credentialsValidator.userSearch e a recuperação não autorizada de valores de atributos LDAP. Restrinja o acesso às APIs do Druid para minimizar o risco de exploração. Evite usar o filtro credentialsValidator.userSearch nos pontos de extremidade da API afetados até que a vulnerabilidade seja resolvida.Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾