W Apache Ranger w wersjach do 2.7.0 włącznie wykryto krytyczną podatność klasy RCE (Remote Code Execution) w komponencie NashornScriptEngineCreator. Umożliwia ona zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze.
▸ Pokaż oryginał (EN)
Remote Code Execution Vulnerability in NashornScriptEngineCreator is reported in Apache Ranger versions <= 2.7.0. Users are recommended to upgrade to version 2.8.0, which fixes this issue.
Podatność (CWE-94 — improper control of code generation) polega na niebezpiecznym użyciu silnika skryptowego Nashorn, który pozwala na wstrzyknięcie i wykonanie niezaufanego kodu. Atakujący może dostarczyć spreparowany payload przez sieć bez konieczności posiadania jakichkolwiek uprawnień ani interakcji ze strony użytkownika. Wektor ataku sieciowy (AV:N) przy braku wymaganych uprawnień (PR:N) i interakcji użytkownika (UI:N) czyni tę podatność szczególnie niebezpieczną.
Atakujący może przejąć pełną kontrolę nad serwerem, uzyskując dostęp do poufnych danych, modyfikując je lub powodując niedostępność usługi (pełne naruszenie poufności, integralności i dostępności).
Należy jak najszybciej zaktualizować Apache Ranger do wersji 2.8.0, która zawiera poprawkę eliminującą tę podatność. Szczegóły dostępne w referencjach producenta: https://lists.apache.org/thread/z47q86rho80390lf2qcmoc2josvs0gtv
Apache Ranger w wersjach 2.7.0 i wcześniejszych
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HApache Ranger
APPApache< 2.8.0
Powiązane podatności
CSV Injection w funkcji eksportu Apache Ranger (wersje < 2.6.0)
SSRF w Apache Ranger UI — podatność na stronie edycji usług
Policy resource matcher in Apache Ranger before 0.7.1 ignores characters after '*' wildcard character - like m...
The Admin UI in Apache Ranger before 0.5.1 does not properly handle authentication requests that lack a passwo...
An Incorrect Permission Assignment for Critical Resource vulnerability was found in the Apache Ranger Hive Plu...