CVE-2016-0735
WysokieStreszczenie
Apache Ranger w wersjach 0.5.x przed 0.5.2 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dostępu na poziomie zasobów nadrzędnych poprzez niewłaściwe zarządzanie polityką wykluczenia na poziomie zasobów.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do zasobów, co może prowadzić do wycieku danych lub naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Apache Ranger do wersji 0.5.2 lub nowszej, aby usunąć tę podatność.
Inne podatności w Apache Ranger
Zobacz wszystkie- CVE-2016-2174Wysokie
W narzędziu administracyjnym polityk w Apache Ranger przed wersją 0.5.3 występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym, uwierzytelnionym administratorom na wykonywanie dowolnych poleceń SQL za pomocą parametru eventTime.
- CVE-2015-0266Wysokie
Narzędzie administracyjne polityki w Apache Ranger przed wersją 0.5.0 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dostępu poprzez bezpośredni dostęp do adresów URL modułów.
- CVE-2026-55799Krytyczne
Podatność zdalnego wykonania kodu w GraalScriptEngineCreator w Apache Ranger w wersjach do 2.8.0. Zaleca się aktualizację do wersji 2.9.0, która naprawia ten problem.
- CVE-2026-44416Krytyczne
Podatność zdalnego wykonania kodu poprzez dowolną instancję klasy w komponencie plugin-schema-registry w Apache Ranger do wersji 2.8.0. Zalecane jest uaktualnienie do wersji 2.9.0.
- CVE-2026-42537Krytyczne
Podatność zdalnego wykonania kodu poprzez wstrzyknięcie w URL JDBC w Apache Ranger do wersji 2.8.0. Zalecane jest uaktualnienie do wersji 2.9.0.
- CVE-2026-40920Krytyczne
Podatność eskalacji uprawnień poprzez parametr URL w Apache Ranger w wersjach do 2.8.0. Zalecane jest uaktualnienie do wersji 2.9.0.
- CVE-2026-32227Krytyczne
Podatność wstrzyknięcia SQL w Apache Ranger. Zalecane jest uaktualnienie do wersji 2.9.0, która naprawia problem.
- CVE-2026-28672Krytyczne
Podatność wstrzyknięcia poleceń (Command Injection) w Apache Ranger w wersjach od 0.6 do 2.8. Brak informacji o zalecanej wersji w opisie.
- CVE-2017-7676Krytyczne
Matcher zasobów polityki w Apache Ranger przed wersją 0.7.1 ignoruje znaki po znaku wieloznacznym '*', co może prowadzić do niezamierzonego zachowania.
- CVE-2016-0733Krytyczne
Interfejs administracyjny w Apache Ranger przed wersją 0.5.1 nieprawidłowo obsługuje żądania uwierzytelnienia, które nie zawierają hasła. To pozwala zdalnym atakującym na ominięcie uwierzytelnienia, wykorzystując znajomość prawidłowej nazwy użytkownika.
Oryginalny opis (angielski, źródło NVD)
Apache Ranger 0.5.x before 0.5.2 allows remote authenticated users to bypass intended parent resource-level access restrictions by leveraging mishandling of a resource-level exclude policy.