oscerd/security-researchVulnerabilità che ho segnalato alla Apache Software Foundation: 46 CVE in 15 progetti
Vulnerabilità che ho segnalato alla Apache Software Foundation, divulgate attraverso il processo di sicurezza ASF. 46 CVE su 15 progetti, dal 2023 al 2026.
Dove esiste un reproducer pubblico, è collegato. Ognuno è un progetto minimale e autonomo che dimostra il problema e indica la release che lo ha corretto.
Su 25 CWE distinte, due classi dominano: deserializzazione di dati non attendibili (7) e server-side request forgery (7).
| CVE | Componente | Classe | Corretto in | PoC |
|---|---|---|---|---|
| CVE-2023-41313 | Doris | CWE-208 Discrepanza temporale osservabile | 1.2.8 | - |
| CVE-2023-41834 | Flink Stateful Functions | CWE-74 Neutralizzazione impropria di elementi speciali nell'output utilizzato da un componente a valle | 3.3.0 | - |
| CVE-2023-43123 | Storm | CWE-200 Esposizione di informazioni sensibili a un attore non autorizzato | 2.6.0 | - |
| CVE-2024-23454 | Hadoop | CWE-378 Creazione di file temporanei con permessi non sicuri | 3.4.0 | - |
| CVE-2024-23953 | Hive | CWE-208 Discrepanza temporale osservabile | 4.0.0 | - |
| CVE-2024-29869 | Hive | CWE-732 Assegnazione errata dei permessi per una risorsa critica | 4.0.1 | - |
| CVE-2026-28672 | Ranger | CWE-77 Neutralizzazione impropria di elementi speciali usati in un comando | 2.9.0 | reproducer |
| CVE-2026-34476 | SkyWalking MCP | CWE-918 Server-Side Request Forgery | non pubblicata | - |
| CVE-2026-40005 | IoTDB | CWE-22 Limitazione impropria di un pathname a una directory ristretta | 2.0.10 | - |
| CVE-2026-40008 | IoTDB | CWE-470 Uso di input controllato esternamente per selezionare classi o codice | 2.0.10 | - |
| CVE-2026-40564 | Flink Kubernetes Operator | CWE-918 Server-Side Request Forgery | 1.15.0 | reproducer |
| CVE-2026-41041 | Gravitino | CWE-177 Gestione impropria della codifica URL | 1.2.1 | - |
| CVE-2026-44616 | Zeppelin | CWE-90 Neutralizzazione impropria di elementi speciali usati in una query LDAP | 0.12.1 | - |
| CVE-2026-49361 | Fluss (incubating) | CWE-400 Consumo non controllato di risorse | non pubblicata | - |
| CVE-2026-63039 | InLong | CWE-89 Neutralizzazione impropria di elementi speciali usati in un comando SQL | 2.4.0 | reproducer |
| CVE-2026-64640 | Polaris | CWE-863 Autorizzazione errata | 1.7.0 | reproducer |
Camel è il progetto che mantengo, quindi riceve il maggior scrutinio. Il pattern dominante è header in ingresso non filtrati che raggiungono il control plane di un producer, oltre a una lunga serie di deserializzazioni non sicure nei percorsi di registry e migrazione.
