CVE-2012-4449
KrytyczneStreszczenie
Apache Hadoop w wersjach przed 0.23.4, 1.x przed 1.0.4 oraz 2.x przed 2.0.2 generuje hasła tokenów przy użyciu 20-bitowego sekretu, gdy funkcje zabezpieczeń Kerberos są włączone. To ułatwia atakującym uzyskanie kluczy sekretów za pomocą ataku brute-force.
Ocena ryzyka
Organizacje mogą być narażone na ataki, które umożliwiają złamanie kluczy sekretów, co może prowadzić do nieautoryzowanego dostępu do systemów zabezpieczonych przez Kerberos.
Rekomendacja
Zaleca się aktualizację Apache Hadoop do wersji 0.23.4, 1.0.4 lub 2.0.2 lub nowszej, aby zminimalizować ryzyko związane z tą podatnością.
Oryginalny opis (angielski, źródło NVD)
Apache Hadoop before 0.23.4, 1.x before 1.0.4, and 2.x before 2.0.2 generate token passwords using a 20-bit secret when Kerberos security features are enabled, which makes it easier for context-dependent attackers to crack secret keys via a brute-force attack.