CVE-2021-39231

Apache Ozone: niezabezpieczone endpointy RPC umożliwiają nieautoryzowany dostęp do danych

CVSS 9.1v3.1pub. 2021-11-19upd. 2024-11-21

W Apache Ozone przed wersją 1.2.0 wewnętrzne endpointy RPC służące do komunikacji między serwerami są dostępne bez uwierzytelnienia. Atakujący może pobrać surowe dane z Datanode i Ozone Manager oraz modyfikować konfigurację replikacji Ratis.

▸ Pokaż oryginał (EN)

In Apache Ozone versions prior to 1.2.0, Various internal server-to-server RPC endpoints are available for connections, making it possible for an attacker to download raw data from Datanode and Ozone manager and modify Ratis replication configuration.

🤖 Analiza AI

Jak działa

Podatność wynika z braku mechanizmów autoryzacji (CWE-862) na wewnętrznych endpointach RPC przeznaczonych do komunikacji serwer-serwer. Endpointy te są osiągalne z sieci bez konieczności posiadania uprawnień ani uwierzytelnienia. Atakujący może bezpośrednio połączyć się z tymi interfejsami i wykonywać operacje zarezerwowane dla zaufanych komponentów klastra, takie jak pobieranie danych czy zmiana konfiguracji replikacji.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do surowych danych przechowywanych w klastrze (Datanode, Ozone Manager) oraz manipulować konfiguracją replikacji Ratis, co może prowadzić do naruszenia poufności i integralności danych.

Mitygacja

Należy zaktualizować Apache Ozone do wersji 1.2.0 lub nowszej, w której endpointy RPC są odpowiednio zabezpieczone. Dodatkowo zaleca się ograniczenie dostępu sieciowego do wewnętrznych portów RPC klastra wyłącznie do zaufanych hostów przy użyciu firewalla lub reguł sieciowych.