PT-2021-10097

CVE-2020-17519

Publicado

2021-01-05

Atualizado

2026-10-29

Descrição por

CVSS 2.0

9.4

Crítica

MétricasAV:N/AC:L/Au:N/C:C/I:N/A:C

Nome do software vulnerável e versões afetadas:

Versões 1.11.0 a 1.11.2 do Apache Flink

Descrição:

Uma alteração introduzida no Apache Flink permite que invasores leiam qualquer arquivo no sistema de arquivos local do JobManager por meio da interface REST. O acesso é restrito aos arquivos acessíveis pelo processo do JobManager. A vulnerabilidade foi explorada ativamente entre novembro de 2020 e janeiro de 2021 e agora está listada no catálogo de Vulnerabilidades Exploradas Conhecidas da CISA. Está disponível uma exploração de prova de conceito (PoC), demonstrando um ataque de traversal de diretório através do endpoint /jobmanager/logs.

Recomendações:

Atualize para a versão 1.11.3 ou 1.12.0 do Apache Flink.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

0Rich1

Gn_Nate

Fornecedores

Produtos afetados

Enumeração de fraquezas