PT-2022-26450

CVE-2022-42468

Publicado

2022-10-26

Atualizado

2025-05-07

Descrição por

CVSS 3.1

9.8

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Apache Flume de 1.4.0 a 1.10.1

Descrição

A vulnerabilidade permite um ataque de execução remota de código (RCE) quando uma configuração utiliza uma fonte JMS com um providerURL não seguro. Isso ocorre porque a classe JMSSource é configurada com um parâmetro providerUrl, que realiza uma pesquisa JNDI sem validação, podendo levar à desserialização de dados não confiáveis.

Recomendações

Para as versões do Apache Flume 1.4.0 a 1.10.1, atualize para a versão 1.11.0 para corrigir o problema, limitando o JNDI para permitir apenas o uso do protocolo java ou nenhum protocolo.

Explorabilidade

Correção

Impactos

Pesquisadores

Nbxiglk

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component (\'Injection\')

CWE-502: Deserialization of Untrusted Data

CWE-20: Improper Input Validation

Identificadores relacionados