Apache Traffic Control opravuje kritickou zranitelnost

Připadá Vám tento report dobře zpracovaný? *

Ano

Používáte tuto technologii? *

Ano

Byl pro Vás tento report užitečný?

Ano

Budeme rádi, pokud se rozepíšete:

Bezpečnostní služby poskytované organizací CESNET jsou navrženy jako významná podpora při zajišťování kybernetické bezpečnosti připojených organizací. Přestože usilujeme o poskytování kvalitních a spolehlivých služeb, není možné garantovat absolutní pokrytí všech bezpečnostních zranitelností. Naše služby by měly být vnímány jako doplněk k vlastnímu bezpečnostnímu řízení organizací, nikoli jako jeho náhrada. Klient nese konečnou odpovědnost za zabezpečení svého prostředí.

[TLP:CLEAR] Apache Traffic Control opravuje kritickou zranitelnost

Apache Traffic Control verzí 8.0.2 opravuje kritickou zranitelnost [1].

Apache Traffic Control - SQL injection (CVE-2024-45387)

CVSS 9.9 (Critical)

Autentizovanému vzdálenému útočníkovi s rolí „admin“, „federation“, „operations“, „portal“ nebo „steering“ je umožněno vykonat SQL injection útok proti databázi zasláním speciálně vytvořeného PUT požadavku [1]. PoC ke zranitelnosti lze najít na [2].

Zranitelnost se nachází v produktu:

Apache Traffic Control; >=8.0.0, <=8.0.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Více informací:

CVE-2024-45387 na cve.org, NVD
CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 23. 12. 2024.

Odkazy

Za CESNET, z.s.p.o. Michaela Jarošová dne 3. 1. 2025.

Zpětná vazba k reportu

[TLP:CLEAR] Apache Traffic Control opravuje kritickou zranitelnost

Apache Traffic Control - SQL injection (CVE-2024-45387)

CVSS 9.9 (Critical)

Odkazy