CVE-2022-36640
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 78 - wyżej niż 78% wszystkich znanych CVE
Streszczenie
InfluxDB przed wersją 1.8.10 nie wymusza uwierzytelniania, co pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych poleceń. Producent wskazuje jednak, że domyślnie uwierzytelnianie jest wyłączone, a jego włączenie jest zalecane przy publicznym dostępie.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do danych oraz zdalnego wykonania kodu, co może prowadzić do naruszenia poufności, integralności i dostępności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację InfluxDB do wersji 1.8.10 lub nowszej oraz włączenie uwierzytelniania i autoryzacji w konfiguracji.
Oryginalny opis (angielski, źródło NVD)
influxData influxDB before v1.8.10 contains no authentication mechanism or controls, allowing unauthenticated attackers to execute arbitrary commands. NOTE: the CVE ID assignment is disputed because the vendor's documentation states "If InfluxDB is being deployed on a publicly accessible endpoint, we strongly recommend authentication be enabled. Otherwise the data will be publicly available to any unauthenticated user. The default settings do NOT enable authentication and authorization."