CVE-2017-5637

CVE-2017-5637: falha em Apache ZooKeeper

Publicada em · Atualizada em

45Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendepss 73%
da publicação à arma0 dias
Publicada no NVD10 de out.
1ª PoC2 de jul.
probabilidade de exploração
73%top 1% das CVEs
exploração observada
nãonenhuma fonte reporta
1 exploit(s) público(s)
O que os fabricantes declaram (VEX)

Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.

Red Hatdocumento VEX ↗
Afetado
2 produtos
Red Hat JBoss A-MQ 6 · Red Hat JBoss Fuse 6
no_fix_planned: Will not fix
Corrigido
3 produtos
Red Hat JBoss BPMS 6.4 · Red Hat JBoss BRMS 6.4 · Red Hat JBoss Data Virtualization 6.3
correção ↗
Em investigação
1 produto
Red Hat OpenShift Enterprise 2
Two four letter word commands "wchp/wchc" are CPU intensive and could cause spike of CPU utilization on Apache ZooKeeper server if abused, which leads to the server unable to serve legitimate client requests. Apache ZooKeeper thru version 3.4.9 and 3.5.2 suffer from this issue, fixed in 3.4.10, 3.5.3, and later.
Produtos afetados
Apache Software Foundation · Apache ZooKeeper
PoCs públicas encontradas — 1
exploitdbwww.exploit-db.com/exploits/42294não verificado
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Apache ZooKeeper

No mesmo produto, das mais perigosas para as menos.

CVE-2019-0201—CVE-2019-0201EPSS 9.7%CVE-2018-8012—CVE-2018-8012EPSS 8.5%CVE-2023-44981CRITICALApache ZooKeeper: Authorization bypass in SASL Quorum Peer AuthenticationEPSS 2.2%CVE-2026-24308MEDIUMApache ZooKeeper: Sensitive information disclosure in client configuration handlingEPSS 1.2%CVE-2024-51504CRITICALApache ZooKeeper: Authentication bypass with IP-based authentication in Admin ServerEPSS 0.9%CVE-2026-84501MEDIUMApache ZooKeeper: Operational log forgery via newline injection in EnsembleAuthenticationProviderEPSS 0.7%
Referências
https://access.redhat.com/errata/RHSA-2017:2477https://access.redhat.com/errata/RHSA-2017:3354https://access.redhat.com/errata/RHSA-2017:3355https://issues.apache.org/jira/browse/ZOOKEEPER-2693https://lists.apache.org/thread.html/053d9ce4d579b02203db18545fee5e33f35f2932885459b74d1e4272%40%3Cissues.activemq.apache.org%3Ehttps://lists.apache.org/thread.html/58170aeb7a681d462b7fa31cae81110cbb749d2dc83c5736a0bb8370%40%3Cdev.zookeeper.apache.org%3Ehttps://lists.apache.org/thread.html/bcce5a9c532b386c68dab2f6b3ce8b0cc9b950ec551766e76391caa3%40%3Ccommits.nifi.apache.org%3Ehttps://lists.apache.org/thread.html/rca37935d661f4689cb4119f1b3b224413b22be161b678e6e6ce0c69b%40%3Ccommits.nifi.apache.org%3Ehttps://www.oracle.com/security-alerts/cpujul2020.htmlhttps://www.oracle.com//security-alerts/cpujul2021.htmlhttp://www.debian.org/security/2017/dsa-3871http://www.securityfocus.com/bid/98814