CVE-2024-32971
CriticalSummary
Apollo Router, konfigurowalny router grafowy napisany w Rust, zawiera błąd, który w ograniczonych okolicznościach może prowadzić do wykonania nieoczekiwanych operacji, co skutkuje niezamierzonymi danymi lub efektami. Problem dotyczy instancji Routera skonfigurowanych do używania rozproszonego buforowania planów zapytań.
Risk Assessment
Organizacja może napotkać nieprzewidywalne wyniki operacji, co może prowadzić do utraty danych lub nieprawidłowego działania aplikacji. W szczególności, może to wpłynąć na integralność danych oraz zaufanie do systemu.
Recommendation
Zaleca się wyłączenie rozproszonego buforowania planów zapytań w instancjach Apollo Router, aby zminimalizować ryzyko wystąpienia tej podatności. Należy również monitorować i testować operacje, aby upewnić się, że działają zgodnie z oczekiwaniami.
Original NVD description (English source)
Apollo Router is a configurable, graph router written in Rust to run a federated supergraph that uses Apollo Federation 2. The affected versions of Apollo Router contain a bug that in limited circumstances, could lead to unexpected operations being executed which can result in unintended data or effects. This only affects Router instances configured to use distributed query plan caching. The root cause of this defect is a bug in Apollo Router’s cache retrieval logic: When this defect is present and distributed query planning caching is enabled, asking the Router to execute an operation (whether it is a query, a mutation, or a subscription) may result in an unexpected variation of that operation being executed or the generation of unexpected errors. The issue stems from inadvertently executing a modified version of a previously executed operation, whose query plan is stored in the underlying cache (specifically, Redis). Depending on the type of the operation, the result may vary. For a