W komponencie Traffic Ops systemu Apache Traffic Control wykryto podatność typu SQL injection umożliwiającą uprzywilejowanemu użytkownikowi wykonanie dowolnych zapytań SQL na bazie danych. Podatność otrzymała ocenę CVSS 9.9, co czyni ją zagrożeniem krytycznym.
▸ Pokaż oryginał (EN)
An SQL injection vulnerability in Traffic Ops in Apache Traffic Control <= 8.0.1, >= 8.0.0 allows a privileged user with role "admin", "federation", "operations", "portal", or "steering" to execute arbitrary SQL against the database by sending a specially-crafted PUT request. Users are recommended to upgrade to version Apache Traffic Control 8.0.2 if you run an affected version of Traffic Ops.
Atakujący posiadający konto z jedną z ról: 'admin', 'federation', 'operations', 'portal' lub 'steering' może wysłać specjalnie spreparowane żądanie HTTP PUT do Traffic Ops. Nieprawidłowa walidacja danych wejściowych (CWE-89) oraz niewystarczająca kontrola uprawnień (CWE-285) pozwalają na wstrzyknięcie dowolnego kodu SQL, który zostanie wykonany bezpośrednio na bazie danych. Atak nie wymaga interakcji ze strony innego użytkownika i może być przeprowadzony zdalnie przez sieć.
Atakujący może odczytać, zmodyfikować lub usunąć dowolne dane w bazie danych Traffic Ops, co prowadzi do pełnego naruszenia poufności, integralności i dostępności systemu zarządzania siecią CDN. Zakres ataku wykracza poza kontekst samej aplikacji (Scope: Changed), co oznacza potencjalny wpływ na infrastrukturę zależną.
Należy zaktualizować Apache Traffic Control do wersji 8.0.2, która zawiera poprawkę eliminującą podatność. W przypadku braku możliwości natychmiastowej aktualizacji zaleca się ograniczenie dostępu sieciowego do interfejsu Traffic Ops wyłącznie do zaufanych hostów oraz audyt kont posiadających role: 'admin', 'federation', 'operations', 'portal' i 'steering'.
Apache Traffic Control w wersjach 8.0.0 oraz 8.0.1 (komponent Traffic Ops)
Informacja o podatności została opublikowana przez Apache Security Team w dniu 2024-12-23 za pośrednictwem listy mailingowej oss-security oraz list.apache.org.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HApache Traffic Control
APPApache8.0.0 – 8.0.2 (bez)
Powiązane podatności
An unauthenticated Apache Traffic Control Traffic Ops user can send a request with a specially-crafted usernam...
Improper authentication is possible in Apache Traffic Control versions 3.0.0 and 3.0.1 if LDAP is enabled for ...
** UNSUPPORTED WHEN ASSIGNED ** Inefficient Regular Expression Complexity vulnerability in Apache Traffic Cont...
In Apache Traffic Control Traffic Ops prior to 6.1.0 or 5.1.6, an unprivileged user who can reach Traffic Ops ...
The Traffic Router component of the incubating Apache Traffic Control project is vulnerable to a Slowloris sty...