BDU:2022-07288 (CVE-2022-33684)

Уязвимость компонентов Pulsar C++ Client и Pulsar Python Client облачной платформы для распределенного обмена сообщениями и потоковой передачи Apache Pulsar, позволяющая нарушителю реализовать атаку типа «человек посередине»

Опубликовано: 2022-12-16

Описание

Уязвимость компонентов Pulsar C++ Client и Pulsar Python Client облачной платформы для распределенного обмена сообщениями и потоковой передачи Apache Pulsar связана с ошибками процедуры подтверждения подлинности сертификата при аутентификации TLS. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, реализовать атаку типа «человек посередине» путем отправки специально созданных запросов GET

Затрагиваемое ПО и версии

Pulsar (до 2.6.4 включительно)Pulsar (от 2.7.0 до 2.7.5)Pulsar (от 2.8.0 до 2.8.4)Pulsar (от 2.9.0 до 2.9.3)Pulsar (от 2.10.0 до 2.10.2)

Способ устранения

Использование рекомендаций:
https://lists.apache.org/thread/ky1ssskvkj00y36k7nys9b5gm5jjrzwv

Оценка CVSS

Балл	7.6 — высокая опасность

Источники и патчи

https://lists.apache.org/thread/ky1ssskvkj00y36k7nys9b5gm5jjrzwv https://nvd.nist.gov/vuln/detail/CVE-2022-33684 https://github.com/apache/pulsar/pull/16064 https://pulsar.apache.org/download/https://huntr.dev/bounties/df89b724-3201-47aa-b8cd-282e112a566f

Проверьте безопасность своего сайта и почты → Полная проверка домена