CVE-2024-45106 in Ozone
Zusammenfassung
von VulDB • 05.06.2026
Eine fehlerhafte Authentifizierung eines HTTP-Endpunkts im S3-Gateway von Apache Ozone 1.4.0 ermöglicht es jedem authentifizierten Kerberos-Benutzer, die S3-Geheimnisse (Secrets) jedes anderen Benutzers zu widerrufen und neu zu generieren. Dies ist nur möglich, wenn: * ozone.s3g.secret.http.enabled auf true gesetzt ist. Der Standardwert dieser Konfiguration lautet false. * Der in ozone.s3g.kerberos.principal konfigurierte Benutzer auch in ozone.s3.administrators oder ozone.administrators konfiguriert ist.
Benutzern wird empfohlen, ein Upgrade auf Apache Ozone Version 1.4.1 durchzuführen, bei dem der betroffene Endpunkt deaktiviert ist.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.