Platform
java
Component
org.apache.inlong:tubemq-core
Opgelost in
1.12.1
1.13.0
CVE-2024-36268 beschrijft een Code Injection kwetsbaarheid in Apache InLong. Deze kwetsbaarheid kan leiden tot Remote Code Execution, waardoor een aanvaller potentieel ongeautoriseerde toegang en controle over het systeem kan verkrijgen. De kwetsbaarheid treft versies van Apache InLong van 1.10.0 tot en met 1.12.0. Een fix is beschikbaar in versie 1.13.0.
Een succesvolle exploitatie van deze Code Injection kwetsbaarheid stelt een aanvaller in staat om willekeurige code uit te voeren op het systeem dat Apache InLong draait. Dit kan resulteren in volledige controle over de server, inclusief het stelen van gevoelige gegevens, het installeren van malware of het gebruik van de server als springplank voor aanvallen op andere systemen binnen het netwerk. De impact is aanzienlijk, aangezien een aanvaller de integriteit en vertrouwelijkheid van de data en systemen in gevaar kan brengen. De mogelijkheid voor laterale beweging is aanwezig, afhankelijk van de configuratie en privileges van de gebruiker die de code injecteert.
Op dit moment is er geen publieke exploitatie van deze kwetsbaarheid bekend, maar de Code Injection aard ervan maakt het een potentieel aantrekkelijk doelwit. De kwetsbaarheid is opgenomen in de NVD op 2024-08-02. De EPSS score is nog niet bekend, maar gezien de mogelijkheid tot Remote Code Execution, kan deze als medium tot hoog worden beschouwd. Er zijn geen actieve campagnes bekend die deze specifieke kwetsbaarheid uitbuiten.
Organizations utilizing Apache InLong for data streaming and messaging, particularly those running versions 1.10.0 through 1.12.0, are at risk. This includes companies relying on InLong for real-time data pipelines, event-driven architectures, and integration with other systems. Shared hosting environments where InLong instances are deployed alongside other applications should be especially vigilant.
• linux / server:
journalctl -u tubemq-core -f | grep -i "injection"• java / supply-chain: Inspect InLong configuration files for any user-supplied data that is directly incorporated into code execution paths. • generic web: Monitor InLong's access logs for unusual patterns or requests that attempt to inject code.
disclosure
Exploit Status
EPSS
6.79% (91% percentiel)
CVSS-vector
De primaire mitigatie is het upgraden van Apache InLong naar versie 1.13.0 of hoger. Indien een upgrade momenteel niet mogelijk is, kan de patch die beschikbaar is op [https://github.com/apache/inlong/pull/10251](https://github.com/apache/inlong/pull/10251) worden toegepast. Het is cruciaal om de configuratie van InLong te beoordelen en te beperken, met name de toegang tot gevoelige bronnen. Implementeer strikte toegangscontroles en monitoring om verdachte activiteiten te detecteren. Na de upgrade, bevestig de fix door te controleren of de kwetsbare code is vervangen en de functionaliteit correct werkt.
Actualice Apache InLong a la versión 1.13.0 o aplique el parche proporcionado en https://github.com/apache/inlong/pull/10251. Esto corrige la vulnerabilidad de inyección de código que permite la ejecución remota de código. Se recomienda actualizar lo antes posible para evitar posibles ataques.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-36268 is a Code Injection vulnerability affecting Apache InLong versions 1.10.0 through 1.12.0, allowing potential Remote Code Execution.
If you are using Apache InLong versions 1.10.0 to 1.12.0, you are potentially affected by this vulnerability. Upgrade to 1.13.0 or later to mitigate the risk.
The recommended fix is to upgrade Apache InLong to version 1.13.0 or later. As a temporary workaround, implement strict input validation and code review.
Currently, there are no confirmed reports of active exploitation, but the availability of a public proof-of-concept increases the risk.
Refer to the Apache InLong GitHub repository for updates and advisories: https://github.com/apache/inlong
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je pom.xml-bestand en we vertellen je direct of je getroffen bent.