CVE-2024-51504
Açıklama
ZooKeeper Admin Server'da IPAuthenticationProvider kullanıldığında, Spoofing yoluyla kimlik doğrulama atlatma olasılığı bulunmaktadır; bu durum yalnızca ZooKeeper Admin Server'da uygulanan IP tabanlı kimlik doğrulamayı etkilemektedir. IPAuthenticationProvider'daki istemci IP adresi tespitinin HTTP istek başlıklarını kullanan varsayılan yapılandırması zayıftır ve bir saldırganın istek başlıklarında istemci IP adresini taklit ederek kimlik doğrulamasını atlamasına izin verir. Varsayılan yapılandırma, istemcinin IP adresini okumak için X-Forwarded-For HTTP başlığını dikkate alır. X-Forwarded-For istek başlığı temel olarak proxy sunucuları tarafından istemciyi tanımlamak için kullanılır ve isteğin farklı bir IP adresinden geldiğini iddia eden bir saldırgan tarafından kolayca taklit edilebilir. Başarılı bir istismar durumunda, snapshot ve restore gibi Admin Server komutları rastgele yürütülebilir; bu da potansiyel olarak bilgi sızıntısına veya hizmet kullanılabilirliği sorunlarına yol açabilir. Kullanıcıların bu sorunu gideren 3.9.3 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- apache zookeeper3.9.3 ya da sonraki bir sürüm
- org.apache.zookeeper:zookeeper3.9.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache zookeeper | 3.9.0 ≤ v < 3.9.3 | 3.9.3 |
| org.apache.zookeeper:zookeeperMaven | 3.9.0 ≤ v < 3.9.3 | 3.9.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.