CVE-2016-2174
WysokieStreszczenie
W narzędziu administracyjnym polityk w Apache Ranger przed wersją 0.5.3 występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym, uwierzytelnionym administratorom na wykonywanie dowolnych poleceń SQL za pomocą parametru eventTime.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do danych oraz manipulacji bazą danych przez administratorów, co stwarza poważne zagrożenie dla integralności systemu.
Rekomendacja
Zaleca się aktualizację Apache Ranger do wersji 0.5.3 lub nowszej, aby usunąć tę podatność.
Inne podatności w Apache Ranger
Zobacz wszystkie- CVE-2016-0735Wysokie
Apache Ranger w wersjach 0.5.x przed 0.5.2 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dostępu na poziomie zasobów nadrzędnych poprzez niewłaściwe zarządzanie polityką wykluczenia na poziomie zasobów.
- CVE-2015-0266Wysokie
Narzędzie administracyjne polityki w Apache Ranger przed wersją 0.5.0 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dostępu poprzez bezpośredni dostęp do adresów URL modułów.
- CVE-2026-55799Krytyczne
Podatność zdalnego wykonania kodu w GraalScriptEngineCreator w Apache Ranger w wersjach do 2.8.0. Zaleca się aktualizację do wersji 2.9.0, która naprawia ten problem.
- CVE-2026-44416Krytyczne
Podatność zdalnego wykonania kodu poprzez dowolną instancję klasy w komponencie plugin-schema-registry w Apache Ranger do wersji 2.8.0. Zalecane jest uaktualnienie do wersji 2.9.0.
- CVE-2026-42537Krytyczne
Podatność zdalnego wykonania kodu poprzez wstrzyknięcie w URL JDBC w Apache Ranger do wersji 2.8.0. Zalecane jest uaktualnienie do wersji 2.9.0.
- CVE-2026-40920Krytyczne
Podatność eskalacji uprawnień poprzez parametr URL w Apache Ranger w wersjach do 2.8.0. Zalecane jest uaktualnienie do wersji 2.9.0.
- CVE-2026-32227Krytyczne
Podatność wstrzyknięcia SQL w Apache Ranger. Zalecane jest uaktualnienie do wersji 2.9.0, która naprawia problem.
- CVE-2026-28672Krytyczne
Podatność wstrzyknięcia poleceń (Command Injection) w Apache Ranger w wersjach od 0.6 do 2.8. Brak informacji o zalecanej wersji w opisie.
- CVE-2017-7676Krytyczne
Matcher zasobów polityki w Apache Ranger przed wersją 0.7.1 ignoruje znaki po znaku wieloznacznym '*', co może prowadzić do niezamierzonego zachowania.
- CVE-2016-0733Krytyczne
Interfejs administracyjny w Apache Ranger przed wersją 0.5.1 nieprawidłowo obsługuje żądania uwierzytelnienia, które nie zawierają hasła. To pozwala zdalnym atakującym na ominięcie uwierzytelnienia, wykorzystując znajomość prawidłowej nazwy użytkownika.
Oryginalny opis (angielski, źródło NVD)
SQL injection vulnerability in the policy admin tool in Apache Ranger before 0.5.3 allows remote authenticated administrators to execute arbitrary SQL commands via the eventTime parameter to service/plugins/policies/eventTime.