CVE-2025-60012
Apache Livy: Limita l'accesso ai file
- Pubblicato
- 13 mar 2026
- Aggiornato
- 13 mar 2026
- Assegnazione CNA
- apache
- Evidenza osservata
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:LBasso · prossimi 30 giorni
- Percentile
- 41,2%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Una configurazione dannosa può portare a un accesso non autorizzato ai file in Apache Livy. Questo problema riguarda Apache Livy 0.7.0 e 0.8.0 quando ci si connette ad Apache Spark 3.1 o versioni successive. Una richiesta che include un valore di configurazione Spark supportato a partire dalla versione 3.1 di Apache Spark può consentire agli utenti di accedere a file per i quali non dispongono delle autorizzazioni. Perché la vulnerabilità sia sfruttabile, l'utente deve avere accesso all'interfaccia REST o JDBC di Apache Livy ed essere in grado di inviare richieste con valori arbitrari di configurazione Spark. Si consiglia agli utenti di aggiornare alla versione 0.9.0 o successiva, che risolve il problema.
Fonti
Una POC per la vulnerabilità di accesso non autorizzato ai file di Apache Livy
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.