CVE-2022-24721

Versões do CometD anteriores à 5.0.11, 6.0.6 e 7.0.6

O CometD é uma implementação escalável do protocolo Comet para mensagens na web. Nas versões anteriores à 5.0.11, 6.0.6 e 7.0.6, o uso interno dos canais Oort e Seti não é devidamente autorizado, permitindo que qualquer usuário remoto se inscreva e publique nesses canais. Ao se inscrever nesses canais, um usuário remoto pode ser capaz de monitorar o tráfego interno do cluster que contém dados de outros usuários (possivelmente confidenciais). Ao publicar nesses canais, um usuário remoto pode ser capaz de criar/modificar/excluir dados de outros usuários e modificar a estrutura do cluster.

Para versões anteriores à 5.0.11, atualize para a versão 5.0.11.

Para versões anteriores à 6.0.6, atualize para a versão 6.0.6.

Para versões anteriores à 7.0.6, atualize para a versão 7.0.6.

Como solução alternativa temporária, considere instalar uma SecurityPolicy personalizada que proíba a assinatura e a publicação em sessões remotas, não Oort, nos canais Oort e Seti.