CVE-2026-24014
Açıklama
Apache IoTDB DataNode'un Trigger örnekleri oluşturmak için kullandığı dahili RPC arayüzü, yüklenen Trigger JAR adını yeterli doğrulama yapmadan bir dosya yolu oluşturmak için kullanmaktadır. Dahili DataNode RPC portu güvenilmeyen bir ağa açıksa, bir saldırgan JAR adı içerisinde yol atlama (path traversal) dizileri kullanarak dosyaları hedeflenen Trigger kurulum dizininin dışına yazabilir. Bu durum, IoTDB sürecinin izinleriyle rastgele dosya yazılmasına olanak tanıyabilir. Bu sorun Apache IoTDB'nin 1.3.3 ile 2.0.8 arasındaki sürümlerini etkilemektedir. Kullanıcıların sorunu gideren 2.0.8 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- apache iotdb2.0.8 ya da sonraki bir sürüm
- apache-iotdb2.0.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache iotdb | 1.3.3 ≤ v < 2.0.8 | 2.0.8 |
| apache-iotdbPyPI | 1.3.3 ≤ v < 2.0.8 | 2.0.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.