CVE-2024-45106 in Ozone
Сводка
по VulDB • 05.06.2026
Некорректная аутентификация HTTP-эндпоинта в S3 Gateway компонента Apache Ozone версии 1.4.0 позволяет любому прошедшему проверку подлинности пользователю Kerberos отзывать и заново генерировать секреты (ключи) S3 любого другого пользователя. Это возможно только при соблюдении следующих условий: * Параметр ozone.s3g.secret.http.enabled установлен в значение true. Значение по умолчанию для этой конфигурации — false. * Пользователь, указанный в параметре ozone.s3g.kerberos.principal, также настроен как администратор S3 (в списке ozone.s3.administrators) или общий администратор системы (в списке ozone.administrators).
Пользователям рекомендуется обновиться до версии Apache Ozone 1.4.1, в которой отключен затронутый эндпоинт.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.