CVE-2019-0201

描述

An issue is present in Apache ZooKeeper 1.0.0 to 3.4.13 and 3.5.0-alpha to 3.5.4-beta. ZooKeeper’s getACL() command doesn’t check any permission when retrieves the ACLs of the requested node and returns all information contained in the ACL Id field as plaintext string. DigestAuthenticationProvider overloads the Id field with the hash value that is used for user authentication. As a consequence, if Digest Authentication is in use, the unsalted hash value will be disclosed by getACL() request for unauthenticated or unprivileged users.

如何修補 CVE-2019-0201

要修補 CVE-2019-0201,請將受影響套件升級到下列已修補版本。

—升級至 3.4.13-2 或更新版本
—升級至 3.4.9-3+deb8u2 或更新版本
—升級至 3.4.9-3+deb9u2 或更新版本
—升級至 3.4.14 或更新版本

CVE-2019-0201 正在被利用嗎?

中等 — EPSS 為 9.6%,可持續追蹤但非最高優先。

受影響套件(4)

from 0, < 3.4.13-2
from 0, < 3.4.9-3+deb8u2
from 0, < 3.4.9-3+deb9u2
>= 1.0.0, < 3.4.14

CVSS 分數

來源	版本	嚴重程度	向量
osv	CVSS 3.1	MEDIUM5.9	CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

描述

如何修補 CVE-2019-0201

CVE-2019-0201 正在被利用嗎?

受影響套件(4)

CVSS 分數

參考連結(22)