CVE-2025-2298

Nome do Software Vulnerável e Versões Afetadas Versões do Dremio anteriores à 24.0.0 Versões do Dremio de 24.3.0 a 24.3.16 Versões do Dremio de 25.0.0 a 25.0.14 Versões do Dremio de 25.1.0 a 25.1.7 Versões do Dremio de 25.2.0 a 25.2.4

Descrição Uma falha de autorização inadequada no Software Dremio permite que usuários autenticados excluam arquivos arbitrários, incluindo arquivos do sistema e arquivos armazenados em locais remotos, como S3, Azure Blob Storage e sistemas de arquivos locais. Esse problema existe devido a controles de acesso insuficientes em um endpoint de API, permitindo que qualquer usuário autenticado especifique e exclua arquivos fora de seu escopo pretendido. A exploração dessa falha pode levar à perda de dados, negação de serviço (DoS) e potencial escalonamento do impacto, dependendo dos arquivos excluídos.

Recomendações Para versões anteriores à 24.0.0, atualize para a versão 24.0.0 ou posterior. Para versões de 24.3.0 a 24.3.16, atualize para a versão 24.3.17 ou posterior. Para versões de 25.0.0 a 25.0.14, atualize para a versão 25.0.15 ou posterior. Para versões de 25.1.0 a 25.1.7, atualize para a versão 25.1.8 ou posterior. Para versões de 25.2.0 a 25.2.4, atualize para a versão 25.2.5 ou posterior.