PT-2026-65742 · Apache+1 · Apache Kyuubi+1
CVSS v3.1
7.3
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L |
Nome do Software Vulnerável e Versões Afetadas
Apache Kyuubi versões 1.8.0 até 1.11.x
Descrição
O proxy da Engine UI aceita um host e uma porta a partir do caminho da requisição e encaminha requisições HTTP para esse destino. Um solicitante remoto com acesso de rede ao proxy pode fazer com que o servidor envie requisições HTTP para hosts alcançáveis arbitrários, resultando em Server-Side Request Forgery (SSRF), onde o servidor é enganado para fazer requisições a recursos internos ou externos, ou comportamento de proxy aberto.
Recomendações
Atualize para a versão 1.12.0.
Para restaurar a Engine UI via proxy após a atualização, defina
kyuubi.frontend.rest.engine.ui.proxy.enabled como true e configure os hosts de destino permitidos usando kyuubi.frontend.rest.engine.ui.proxy.hosts.Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Apache Kyuubi
Kyuubi