CVE-2024-51775highCWE-1385

CVE-2024-51775: falha de alta gravidade em Apache Zeppelin

Apache Zeppelin: Command Injection via CSWSH

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Apache Zeppelin+ Monitorar org.apache.zeppelin:zeppelin-shell

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 0.3%
Em resumo

O Apache Zeppelin não valida a origem das conexões WebSocket, permitindo que atacantes de outros sites acessem o servidor e roubem informações internas sobre notebooks e parágrafos sem autorização.

Detalhe técnico

Falta de validação de origem em manipuladores WebSocket (vetor CSWSH) permite que requisições entre origens contornem proteções CORS, habilitando atacantes a recuperarem metadados de parágrafos sensíveis e dados internos do Zeppelin. Afeta versões 0.11.1 até 0.11.x; requer acesso de rede ao servidor Zeppelin.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Missing Origin Validation in WebSockets vulnerability in Apache Zeppelin. The attacker could access the Zeppelin server from another origin without any restriction, and get internal information about paragraphs.  This issue affects Apache Zeppelin: from 0.11.1 before 0.12.0. Users are recommended to upgrade to version 0.12.0, which fixes the issue.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Produtos afetados
Apache Software Foundation · Apache Zeppelin
CVEs relacionadas — Apache Zeppelin

No mesmo produto, das mais perigosas para as menos.

CVE-2018-1328—CVE-2018-1328EPSS 6.0%CVE-2019-10095—bash command injection in spark interpreterEPSS 5.7%CVE-2017-12619—CVE-2017-12619EPSS 4.9%CVE-2018-1317—CVE-2018-1317EPSS 4.6%CVE-2020-13929—Notebook permissions bypassEPSS 3.3%CVE-2021-27578—Cross Site Scripting in markdown interpreterEPSS 3.2%