security-research — Updated!
Apache Software Foundation को रिपोर्ट की गई भेद्यताएँ: 15 परियोजनाओं में 46 CVE
सुरक्षा अनुसंधान
Apache Software Foundation को मेरे द्वारा रिपोर्ट किए गए और ASF सुरक्षा प्रक्रिया के माध्यम से प्रकट किए गए भेद्यताएँ। 15 परियोजनाओं में 46 CVE, 2023 से 2026 तक।
जहाँ सार्वजनिक पुनरुत्पादक मौजूद है, वहाँ उसे लिंक किया गया है। प्रत्येक एक न्यूनतम, स्व-निहित परियोजना है जो समस्या को प्रदर्शित करती है और उस रिलीज़ का नाम बताती है जिसने इसे ठीक किया।
25 अलग-अलग CWE में, दो वर्ग प्रमुख हैं: अविश्वसनीय डेटा का डीसेरियलाइज़ेशन (7) और सर्वर-साइड रिक्वेस्ट फ़ॉर्जरी (7)।
पूरे Apache पारिस्थितिकी तंत्र में: 16 CVE, 14 परियोजनाएँ
| CVE | घटक | वर्ग | इसमें ठीक किया गया | PoC |
|---|---|---|---|---|
| CVE-2023-41313 | Doris | CWE-208 अवलोकनीय समय विसंगति | 1.2.8 | - |
| CVE-2023-41834 | Flink Stateful Functions | CWE-74 डाउनस्ट्रीम घटक द्वारा उपयोग किए जाने वाले आउटपुट में विशेष तत्वों का अनुचित निराकरण | 3.3.0 | - |
| CVE-2023-43123 | Storm | CWE-200 अनधिकृत अभिनेता को संवेदनशील जानकारी का प्रकटीकरण | 2.6.0 | - |
| CVE-2024-23454 | Hadoop | CWE-378 असुरक्षित अनुमतियों के साथ अस्थायी फ़ाइल का निर्माण | 3.4.0 | - |
| CVE-2024-23953 | Hive | CWE-208 अवलोकनीय समय विसंगति | 4.0.0 | - |
| CVE-2024-29869 | Hive | CWE-732 महत्वपूर्ण संसाधन के लिए गलत अनुमति असाइनमेंट | 4.0.1 | - |
| CVE-2026-28672 | Ranger | CWE-77 कमांड में उपयोग किए जाने वाले विशेष तत्वों का अनुचित निराकरण | 2.9.0 | पुनरुत्पादक |
| CVE-2026-34476 | SkyWalking MCP | CWE-918 सर्वर-साइड रिक्वेस्ट फ़ॉर्जरी | प्रकाशित नहीं | - |
| CVE-2026-40005 | IoTDB | CWE-22 पथनाम का प्रतिबंधित निर्देशिका तक अनुचित सीमन | 2.0.10 | - |
| CVE-2026-40008 | IoTDB | CWE-470 कक्षाओं या कोड का चयन करने के लिए बाह्य-नियंत्रित इनपुट का उपयोग | 2.0.10 | - |
| CVE-2026-40564 | Flink Kubernetes Operator | CWE-918 सर्वर-साइड रिक्वेस्ट फ़ॉर्जरी | 1.15.0 | पुनरुत्पादक |
| CVE-2026-41041 | Gravitino | CWE-177 URL एन्कोडिंग का अनुचित प्रबंधन | 1.2.1 | - |
| CVE-2026-44616 | Zeppelin | CWE-90 LDAP क्वेरी में उपयोग किए जाने वाले विशेष तत्वों का अनुचित निराकरण | 0.12.1 | - |
| CVE-2026-49361 | Fluss (incubating) | CWE-400 अनियंत्रित संसाधन उपभोग | प्रकाशित नहीं | - |
| CVE-2026-63039 | InLong | CWE-89 SQL कमांड में उपयोग किए जाने वाले विशेष तत्वों का अनुचित निराकरण | 2.4.0 | पुनरुत्पादक |
| CVE-2026-64640 | Polaris | CWE-863 गलत प्राधिकरण | 1.7.0 | पुनरुत्पादक |
Apache Camel: 30 CVE
Camel वह परियोजना है जिसका मैं रखरखाव करता हूँ, इसलिए इसकी सबसे अधिक जाँच होती है। प्रमुख पैटर्न है उत्पादक के नियंत्रण तल तक पहुँचने वाले अफ़िल्टरित इनबाउंड हेडर, साथ ही रजिस्ट्री और माइग्रेशन पथों में असुरक्षित डीसेरियलाइज़ेशन की एक लंबी श्रृंखला।