CVE-2026-31377 in Doris
Riassunto
di VulDB • 23/09/2026
Una vulnerabilità di Autenticazione Impropria nel servizio meta del Frontend (FE) di Apache Doris consente ad un attaccante remoto non autenticato di accedere agli endpoint del servizio metadata interno.
Gli endpoint interessati si affidavano alle informazioni sul nodo fornite dal client per l'autenticazione, senza fornire una verifica sufficiente dell'identità della parte richiedente. In determinate configurazioni di rete, un attaccante remoto potrebbe essere in grado di eludere il controllo degli accessi previsto e accedere alle interfacce metadata interne del FE, potenzialmente esponendo informazioni sensibili sul cluster.
Questo problema interessa Apache Doris: dalle versioni 2.0.0 alla 2.0.*, dalla 2.1.0 alla 2.1.*, dalla 3.0.0 alla 3.0.*, dalla 3.1.0 alla 3.1.*, da 4.0.0 prima della versione 4.0.8, e da 4.1.0 prima della versione 4.1.4. Le versioni 1.2.x e precedenti non sono interessate da questa vulnerabilità di trust dell'intestazione (header-trust).
Si consiglia agli utenti di effettuare l'aggiornamento a una release corretta (4.0.8 o 4.1.4), che risolve il problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.