CVE-2017-5640
KrytyczneStreszczenie
W Apache Impala w wersjach od 2.7.0 do 2.8.0 zidentyfikowano podatność, która pozwala złośliwemu procesowi podszywać się pod demona Impala. Może to prowadzić do pominięcia kontroli uwierzytelniania, gdy Kerberos jest włączony, ale TLS nie jest używane.
Ocena ryzyka
Zagrożenie to może umożliwić atakującym dostęp do systemu bez odpowiedniej autoryzacji, co może prowadzić do wycieku danych lub nieautoryzowanego dostępu do zasobów.
Rekomendacja
Zaleca się aktualizację Apache Impala do najnowszej wersji, która zawiera poprawki bezpieczeństwa oraz włączenie TLS w celu zabezpieczenia komunikacji.
Oryginalny opis (angielski, źródło NVD)
It was noticed that a malicious process impersonating an Impala daemon in Apache Impala (incubating) 2.7.0 to 2.8.0 could cause Impala daemons to skip authentication checks when Kerberos is enabled (but TLS is not). If the malicious server responds with 'COMPLETE' before the SASL handshake has completed, the client will consider the handshake as completed even though no exchange of credentials has happened.