Apache Ranger présente une vulnérabilité d'injection de code

L'impact de cette vulnérabilité est critique. Un attaquant exploitant avec succès cette faille peut prendre le contrôle total du système Apache Ranger. Cela peut entraîner la compromission des données sensibles, la modification des configurations de sécurité et l'utilisation du serveur comme point de pivot pour des attaques ultérieures sur le réseau. La vulnérabilité exploite le moteur de script Nashorn, connu pour ses faiblesses potentielles en matière d'exécution de code, ce qui rend l'exploitation relativement simple. L'attaquant pourrait injecter du code malveillant via des entrées non validées, ce qui entraînerait son exécution par le serveur Ranger.

Organizations heavily reliant on Apache Ranger for data governance and security policy enforcement are at significant risk. Specifically, deployments using older versions of Ranger Plugins Common (≤2.7.0) are vulnerable. Environments where Ranger is integrated with sensitive data stores or critical infrastructure are particularly exposed.

• java / server:

ps -ef | grep Nashorn

• java / server:

find /opt/ranger/ -name "*NashornScriptEngineCreator.class"

• java / server:

journalctl -u ranger-plugins-common -g "NashornScriptEngineCreator"

1. 2026-03-03Disclosure

   disclosure

1. Réservé2025-09-08
2. Publiée2026-03-03
3. Modifiée2026-03-09
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Apache Ranger vers la version 2.8.0, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, envisagez de désactiver temporairement le composant NashornScriptEngineCreator si cela est possible sans affecter les fonctionnalités essentielles. En attendant la mise à jour, une surveillance accrue des journaux système et des tentatives d'accès non autorisées est recommandée. Il n'existe pas de règles WAF spécifiques connues pour cette vulnérabilité, mais une règle générale bloquant l'exécution de scripts non approuvés pourrait offrir une protection partielle.