Informazioni sul CVE-2024-31391

Apache Solr Operator: Solr-Operator liveness and readiness probes may leak basic auth credentials

CWE ID: CWE-532

Base Score (CVSS): N/A

CVE: CVE-2024-31391

Descrizione: Inserimento di Informazioni Sensibili nel File di Logografia vulnerabilità nell’Apache Solr Operator. Questo problema si applica a tutte le versioni dell’Apache Solr Operator dal 0.3.0 al 0.8.0. Quando richiesto di bootstrap il Solr Security, l’operatore abiliterà l’autenticazione di base e creerà diversi account per l’accesso a Solr, tra cui “solr” e “admin” per l’uso da parte degli utenti finali, e un account “k8s-oper” che l’operatore utilizza per le proprie richieste a Solr. Una fonte comune di queste richieste dell’operatore è il monitoraggio della salute (liveness, readiness e startup) che vengono utilizzati per determinare la salute e la capacità di ricevere il traffico di Solr. Di default, l’operatore configura le API Solr utilizzate per questi monitoraggi per essere esenti dall’autenticazione, ma gli utenti possono specificamente richiedere che l’autenticazione sia richiesta sui punti di accesso delle probe. Se una di queste prove fallisce, se l’autenticazione era in uso, il Solr Operator creerebbe un evento Kubernetes contenente il nome utente e la password dell’account “k8s-oper”. All’interno dell’intervallo di versione interessato, questo problema si applica a qualsiasi risorsa solrcloud che (1) è stata bootstrapped dalla sicurezza tramite l’uso dell’opzione `.solrOptions.security.authenticationType=basic`, e (2) ha richiesto l’uso dell’autenticazione sulle probe, impostando `.solrOptions.security.probesRequireAuth=true`. Gli utenti sono raccomandati ad aggiornare alla versione del Solr Operator 0.8.1, che risolve questo problema garantendo che le prove non stampino le credenziali utilizzate per le richieste di Solr. Gli utenti possono anche mitigare la vulnerabilità disabilitando l’autenticazione sull’opzione di probe di salute utilizzando il valore `.solrOptions.security.probesRequireAuth=false`.

Vettore di attacco

Punteggio CVSS

Il CVSS è un sistema di valutazione che misura la gravità di una vulnerabilità informatica considerando fattori come l’impatto potenziale, la probabilità di attacco e la facilità di esecuzione.

Punteggio Base (calcolato da AziendaSicura): 0.0 (None)

Riassunto: .

Dettaglio del Vettore

Metrica Valore Significato Descrizione

Riferimenti esterni

Prodotti interessati

  • Apache Software Foundation – Apache Solr Operator

Relazioni con altri prodotti

Produttore:Apache Software Foundation
Prodotto: Apache Solr Operator
Anno: 2024
CWE: CWE-532
CVSS: 0.0

Ulteriori risorse disponibili