CVE-2017-5649
WysokieStreszczenie
Apache Geode przed wersją 1.1.1, w przypadku włączonego zabezpieczenia, pozwala zdalnym uwierzytelnionym użytkownikom z uprawnieniami CLUSTER:READ, ale bez DATA:READ, na dostęp do strony przeglądarki danych w Pulse, co umożliwia wykonanie zapytania OQL i ujawnienie danych przechowywanych w klastrze.
Ocena ryzyka
Organizacja może być narażona na ujawnienie wrażliwych danych, co może prowadzić do naruszenia prywatności i bezpieczeństwa informacji.
Rekomendacja
Zaleca się aktualizację Apache Geode do wersji 1.1.1 lub nowszej oraz przegląd uprawnień użytkowników, aby ograniczyć dostęp do danych.
Inne podatności w Apache Geode
Zobacz wszystkie- CVE-2026-103371Wysokie
Apache Geode Web Management w wersjach od 2.0.0 do przed 2.0.3 zawiera podatność polegającą na umieszczeniu wrażliwych informacji w pliku dziennika. Zalecana jest aktualizacja do wersji 2.0.3.
- CVE-2025-47410Wysokie
Apache Geode jest podatny na ataki CSRF poprzez żądania GET do interfejsu REST API zarządzania i monitorowania, co może pozwolić atakującemu, który nakłonił użytkownika do ujawnienia danych sesji Geode, na wysyłanie złośliwych poleceń w imieniu uwierzytelnionego użytkownika. Problem dotyczy wersji od 1.10 do 1.15.1.
Oryginalny opis (angielski, źródło NVD)
Apache Geode before 1.1.1, when a cluster has enabled security by setting the security-manager property, allows remote authenticated users with CLUSTER:READ but not DATA:READ permission to access the data browser page in Pulse and consequently execute an OQL query that exposes data stored in the cluster.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS