CVE-2023-33265
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W Hazelcast w wersjach od 5.0.4, 5.1 do 5.1.6 oraz 5.2 do 5.2.3 usługi wykonawcze nie sprawdzają poprawnie uprawnień klientów, co pozwala uwierzytelnionym użytkownikom na wykonywanie zadań na członkach bez wymaganych uprawnień.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane wykonanie zadań przez użytkowników, co może prowadzić do naruszenia integralności systemu i danych.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Hazelcast, w której poprawiono sprawdzanie uprawnień użytkowników.
Inne podatności w Hazelcast
Zobacz wszystkie- CVE-2026-107726Krytyczne
Hazelcast przed wersjami 5.4.5, 5.5.10 i 5.6.1 zawiera błąd niewłaściwej walidacji danych od złośliwego klienta, co umożliwia dowolny odczyt z pamięci heap i poza-heap członka klastra oraz przestrzeni adresowej procesu JVM. Ta sama wada może spowodować awarię członków klastra, a w niektórych konfiguracjach Hazelcast Enterprise Edition uszkodzenie pamięci z możliwym wykonaniem dowolnego kodu. Problem naprawiono w wersjach 5.4.5, 5.5.10, 5.6.1 i 5.7.0.
- CVE-2026-107725Wysokie
Hazelcast to platforma danych czasu rzeczywistego. W wersjach przed 5.4.5, 5.5.10 i 5.6.1 brak kontroli autoryzacji w API IMap Predicates pozwala złośliwemu klientowi z ograniczonymi uprawnieniami na wykonanie dowolnego kodu na członku klastra Hazelcast.
- CVE-2023-33264Średnie
W wersjach Hazelcast od 5.0.4 do 5.2.3, procedury konfiguracyjne nie maskują haseł w konfiguracji członków, co umożliwia użytkownikom Hazelcast Management Center podglądanie niektórych sekretów.
Oryginalny opis (angielski, źródło NVD)
In Hazelcast through 5.0.4, 5.1 through 5.1.6, and 5.2 through 5.2.3, executor services don't check client permissions properly, allowing authenticated users to execute tasks on members without the required permissions granted.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS