CVE-2024-23944
Açıklama
Apache ZooKeeper'da eksik ACL kontrolü nedeniyle kalıcı izleyici (persistent watcher) yönetiminde bilgi ifşası meydana gelmektedir. Bu durum, bir saldırganın halihazırda erişimi olan bir üst düğüme (parent) kalıcı bir izleyici (addWatch komutu) ekleyerek alt znode'ları izlemesine olanak tanır. ZooKeeper sunucusu, kalıcı izleyici tetiklendiğinde ACL kontrolü yapmaz ve sonuç olarak, bir izleme olayının tetiklendiği znode'ların tam yolu izleyicinin sahibine ifşa edilir. Bu güvenlik açığıyla yalnızca yolun ifşa edildiği, znode verilerinin ifşa edilmediği unutulmamalıdır; ancak znode yolu kullanıcı adı veya giriş kimliği gibi hassas bilgiler içerebildiğinden, bu sorun potansiyel olarak kritiktir. Kullanıcıların sorunu gideren 3.9.2 veya 3.8.4 sürümlerine yükseltme yapmaları önerilir.
Nasıl düzeltilir
- apache zookeeper3.8.4, 3.9.2 ya da sonraki bir sürüm
- org.apache.zookeeper:zookeeper3.8.4, 3.9.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache zookeeper | 3.6.0 ≤ v ≤ 3.7.2, 3.8.0 ≤ v < 3.8.4, 3.9.0 ≤ v < 3.9.2 | 3.8.4, 3.9.2 |
| org.apache.zookeeper:zookeeperMaven | 3.8.0 ≤ v < 3.8.4, 3.9.0 ≤ v < 3.9.2, 3.6.0 ≤ v ≤ 3.7.2 | 3.8.4, 3.9.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.