CVE-2024-45106 in Ozone
Resumen
por MITRE • 2024-12-03
La autenticación incorrecta de un endpoint HTTP en la puerta de enlace S3 de Apache Ozone 1.4.0 permite que cualquier usuario Kerberos autenticado revoque y regenere los secretos S3 de cualquier otro usuario. Esto solo es posible si: * ozone.s3g.secret.http.enabled está configurado como verdadero. El valor predeterminado de esta configuración es falso. * El usuario configurado en ozone.s3g.kerberos.principal también está configurado en ozone.s3.administrators o ozone.administrators. Se recomienda a los usuarios que actualicen a Apache Ozone versión 1.4.1, que deshabilita el endpoint afectado.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.