CVE-2024-24780

Apache IoTDB: RCE przez rejestrację złośliwej funkcji UDF z niezaufanego URI

CVSS 9.8v3.1pub. 2025-05-14upd. 2025-07-01

Podatność w Apache IoTDB umożliwia zdalne wykonanie kodu (RCE) poprzez rejestrację złośliwej funkcji UDF z niezaufanego adresu URI. Atakujący posiadający uprawnienia do tworzenia UDF może w ten sposób przejąć kontrolę nad systemem.

▸ Pokaż oryginał (EN)

Remote Code Execution with untrusted URI of UDF vulnerability in Apache IoTDB. The attacker who has privilege to create UDF can register malicious function from untrusted URI. This issue affects Apache IoTDB: from 1.0.0 before 1.3.4. Users are recommended to upgrade to version 1.3.4, which fixes the issue.

🤖 Analiza AI

Jak działa

Apache IoTDB umożliwia użytkownikom rejestrowanie własnych funkcji zdefiniowanych przez użytkownika (UDF) poprzez podanie adresu URI wskazującego na plik z implementacją funkcji. Mechanizm ten nie weryfikuje w wystarczający sposób zaufania do podanego URI, co pozwala atakującemu posiadającemu uprawnienia do tworzenia UDF na wskazanie złośliwego zasobu zewnętrznego. Załadowanie i wykonanie kodu z takiego niezaufanego URI prowadzi do wykonania dowolnego kodu po stronie serwera (RCE). Podatność klasyfikowana jest jako CWE-94, czyli niekontrolowana modyfikacja/wstrzyknięcie kodu.

Skutki

Atakujący może osiągnąć pełne zdalne wykonanie kodu (RCE) na serwerze Apache IoTDB, co może prowadzić do naruszenia poufności, integralności i dostępności danych oraz całego systemu.

Mitygacja

Należy zaktualizować Apache IoTDB do wersji 1.3.4, która zawiera poprawkę eliminującą tę podatność. Dodatkowo zaleca się przegląd i ograniczenie uprawnień do tworzenia UDF wyłącznie do zaufanych użytkowników.