Zraniteľnosť Apache Avro umožňuje vykonávať kód

Systém pre serializáciu dát Apache Avro Java SDK kvôli chybe v spracovaní používateľských schém umožňuje útočníkom získať schopnosť vzdialeného vykonávania kódu.

Zraniteľné systémy:

• Apache Avro Java SDK verzie staršie ako 1.11.4

Opis činnosti:

CVE-2024-47561 (CVSS skóre 7,3)

Vývojári Apache Avro Java SDK vydali aktualizácie svojho produktu, ktoré opravujú vysoko závažnú zraniteľnosť. CVE-2024-47561 spočíva v nesprávnom spracovaní používateľských schém v rámci direktív ReflectData a SpecificData a útočník by ju prostredníctvom podvrhnutia špeciálne vytvorenej schémy mohol zneužiť na vykonanie škodlivého kódu.

Zraniteľnosť objavil výskumník Kostya Kortchinsky z tímu Databricks Security Team.

Možné škody:

• Vzdialené vykonávanie kódu

Odporúčania:

Bezodkladná aktualizácia Apache Avro Java SDK na verziu 1.11.4 alebo 1.12.0.

Pre mitigovanie zraniteľnosti môžete zakázať spracovanie používateľských schém alebo ich pred spracovaním sanitizovať.

Odkazy:

• https://nvd.nist.gov/vuln/detail/CVE-2024-47561
• https://lists.apache.org/thread/c2v7mhqnmq0jmbwxqq3r5jbj1xg43h5x
• https://thehackernews.com/2024/10/critical-apache-avro-sdk-flaw-allows.html