Brother
Professional
- Messages
- 2,590
- Reaction score
- 483
- Points
- 83
В службах Apache, Hadoop, Kafka и Spark Azure HDInsight были обнаружены три новые уязвимости в системе безопасности, которые могут быть использованы для повышения привилегий и выполнения условия отказа в обслуживании по регулярному выражению (ReDoS).
"Новые уязвимости затрагивают любого аутентифицированного пользователя сервисов Azure HDInsight, таких как Apache Ambari и Apache Oozie", - сказал исследователь безопасности Orca Лидор Бен Шитрит в техническом отчете, опубликованном в Hacker News.
Список недостатков выглядит следующим образом -
Ошибка XXE является результатом отсутствия проверки ввода данных пользователем, которая допускает чтение файлов на уровне root и повышение привилегий, в то время как ошибка внедрения JDBC может быть использована для получения обратной оболочки от имени root.
"Уязвимость ReDoS в Apache Oozie была вызвана отсутствием надлежащей проверки входных данных и применения ограничений и позволила злоумышленнику запросить большой диапазон идентификаторов действий и вызвать интенсивную циклическую операцию, что привело к отказу в обслуживании (DoS)", - объяснил Бен Шитрит.
Успешное использование уязвимости ReDoS может привести к нарушению работы системы, снижению производительности и негативно повлиять как на доступность, так и на надежность службы.
После ответственного раскрытия информации корпорация Майкрософт выпустила исправления в рамках обновлений, выпущенных 26 октября 2023 года.
Раскрытие информации появилось почти через три месяца после того, как Orca также подробно описала набор из восьми недостатков в службе аналитики с открытым исходным кодом, которые могут быть использованы для доступа к данным, перехвата сеансов и доставки вредоносных полезных нагрузок.
"Новые уязвимости затрагивают любого аутентифицированного пользователя сервисов Azure HDInsight, таких как Apache Ambari и Apache Oozie", - сказал исследователь безопасности Orca Лидор Бен Шитрит в техническом отчете, опубликованном в Hacker News.
Список недостатков выглядит следующим образом -
- CVE-2023-36419 (оценка CVSS: 8,8) - Уязвимость для повышения привилегий при внедрении внешнего объекта (XXE) Azure HDInsight Apache Oozie Workflow Scheduler XML External Entity Scheduler.
- CVE-2023-38156 (оценка CVSS: 7.2) - Уязвимость для повышения привилегий при внедрении Azure HDInsight Apache Ambari Java Database Connectivity (JDBC)
- Уязвимость Azure HDInsight Apache Oozie, связанная с регулярным отказом в обслуживании (нет CVE)
Ошибка XXE является результатом отсутствия проверки ввода данных пользователем, которая допускает чтение файлов на уровне root и повышение привилегий, в то время как ошибка внедрения JDBC может быть использована для получения обратной оболочки от имени root.
"Уязвимость ReDoS в Apache Oozie была вызвана отсутствием надлежащей проверки входных данных и применения ограничений и позволила злоумышленнику запросить большой диапазон идентификаторов действий и вызвать интенсивную циклическую операцию, что привело к отказу в обслуживании (DoS)", - объяснил Бен Шитрит.
Успешное использование уязвимости ReDoS может привести к нарушению работы системы, снижению производительности и негативно повлиять как на доступность, так и на надежность службы.
После ответственного раскрытия информации корпорация Майкрософт выпустила исправления в рамках обновлений, выпущенных 26 октября 2023 года.
Раскрытие информации появилось почти через три месяца после того, как Orca также подробно описала набор из восьми недостатков в службе аналитики с открытым исходным кодом, которые могут быть использованы для доступа к данным, перехвата сеансов и доставки вредоносных полезных нагрузок.
