Podatność w Apache Kvrocks 2.8.0 polega na niewłaściwej obsłudze niewystarczających uprawnień lub przywilejów. Błąd otrzymał ocenę CRITICAL (CVSS 9.4) i może prowadzić do poważnych naruszeń poufności, integralności oraz dostępności danych.
▸ Pokaż oryginał (EN)
Improper Handling of Insufficient Permissions or Privileges vulnerability in Apache Kvrocks. This issue affects Apache Kvrocks: 2.8.0. Users are recommended to upgrade to version 2.16.0, which fixes the issue.
Podatność (CWE-280) wynika z nieprawidłowego postępowania aplikacji w sytuacji, gdy operacja jest wykonywana z niewystarczającymi uprawnieniami. Atakujący z podstawowym dostępem (PR:L) może, przy minimalnej interakcji użytkownika (UI:P), doprowadzić do sytuacji, w której system nie egzekwuje właściwie ograniczeń uprawnień. Skutkuje to możliwością uzyskania nieautoryzowanego dostępu lub wykonania operacji wykraczających poza przyznane przywileje.
Atakujący może uzyskać wysoki poziom dostępu do poufnych danych oraz możliwość ich modyfikacji, a także wpłynąć na dostępność systemu — zarówno w zakresie komponentu podatnego, jak i systemów z nim powiązanych.
Należy zaktualizować Apache Kvrocks do wersji 2.16.0, która zawiera poprawkę eliminującą opisaną podatność. Szczegóły dostępne są na liście dyskusyjnej Apache oraz w serwisie oss-security.
Apache Kvrocks w wersji 2.8.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:I/V:X/RE:M/U:Amber