CVE-2024-51504
Təsvir
ZooKeeper Admin Server-də IPAuthenticationProvider istifadə edildikdə, spoofing vasitəsilə autentifikasiyadan yan keçmə ehtimalı mövcuddur — bu, yalnız ZooKeeper Admin Server-də tətbiq edilmiş IP əsaslı autentifikasiyaya təsir edir. IPAuthenticationProvider-də müştərinin IP ünvanının təyini üçün HTTP sorğu başlıqlarından istifadə edən standart konfiqurasiya zəifdir və hücumçuya sorğu başlıqlarında müştəri IP ünvanını spoofing etməklə autentifikasiyadan yan keçməyə imkan verir. Standart konfiqurasiya müştərinin IP ünvanını oxumaq üçün X-Forwarded-For HTTP başlığına etibar edir. X-Forwarded-For sorğu başlığı əsasən proksi serverlər tərəfindən müştərini müəyyən etmək üçün istifadə olunur və hücumçu tərəfindən sorğunun fərqli bir IP ünvanından gəldiyi kimi göstərilərək asanlıqla spoof edilə bilər. Uğurlu istismar nəticəsində snapshot və restore kimi Admin Server əmrləri ixtiyari şəkildə icra edilə bilər ki, bu da potensial olaraq məlumat sızmasına və ya xidmətin əlçatanlığı problemlərinə səbəb ola bilər. İstifadəçilərə bu problemi aradan qaldıran 3.9.3 versiyasına yeniləmək tövsiyə olunur.
Necə düzəltmək olar
- apache zookeeper3.9.3 və ya daha yeni versiya
- org.apache.zookeeper:zookeeper3.9.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache zookeeper | 3.9.0 ≤ v < 3.9.3 | 3.9.3 |
| org.apache.zookeeper:zookeeperMaven | 3.9.0 ≤ v < 3.9.3 | 3.9.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.