CVE-2017-9790
WysokieStreszczenie
W Apache Mesos przed wersją 1.1.3, 1.2.x przed 1.2.2, 1.3.x przed 1.3.1 oraz 1.4.0-dev, libprocess ulega awarii podczas obsługi wiadomości opakowanej w żądanie HTTP, gdy ścieżka żądania jest pusta. Parser zakłada, że ścieżka żądania zawsze zaczyna się od '/'.
Ocena ryzyka
Atakujący może spowodować awarię serwera Mesos, co prowadzi do niedostępności klastra kontrolowanego przez Mesos.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Apache Mesos, aby usunąć tę podatność.
Inne podatności w Apache Mesos
Oryginalny opis (angielski, źródło NVD)
When handling a libprocess message wrapped in an HTTP request, libprocess in Apache Mesos before 1.1.3, 1.2.x before 1.2.2, 1.3.x before 1.3.1, and 1.4.0-dev crashes if the request path is empty, because the parser assumes the request path always starts with '/'. A malicious actor can therefore cause a denial of service of Mesos masters rendering the Mesos-controlled cluster inoperable.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS