A falha representada pelo CVE-2024-56325 acontece por causa de uma neutralização inapropriada de elementos da classe AuthenticationFilter pois não valida corretamente componentes do URI.
Desta forma, os atacantes podiam enviar pedidos maliciosos com caracteres codificados para fazer bypass à autenticação. É uma falha que não exige palavras-passe, tokens, etc, é uma falha que simplesmente permitia que os atacantes explorassem caminhos/diretórios HTTP para acederem a endpoints restritos.
Versões afetadas
Até à 1.3.0
Solução
Atualizar imediatamente
Reforçar o RBAC (Controlo de acessos baseado na função)
Desabilitar o scripting em Groovy
Hardening da rede
Download da última versão: https://pinot.apache.org/download/
Mais informações da vulnerabilidade: https://www.zerodayinitiative.com/advisories/ZDI-25-109/
Comments