CVE-2023-35887
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 58 - wyżej niż 58% wszystkich znanych CVE
Streszczenie
W podatności CVE-2023-35887 w Apache MINA występuje ujawnienie wrażliwych informacji osobom nieuprawnionym. Użytkownicy zalogowani na serwerach SFTP mogą uzyskać informacje o istnieniu lub braku elementów poza zrootowanym drzewem, wykorzystując nawigację do rodzica lub symlinki.
Ocena ryzyka
Organizacje mogą być narażone na ujawnienie wrażliwych danych, co może prowadzić do dalszych ataków lub naruszenia prywatności. W szczególności, nieautoryzowani użytkownicy mogą uzyskać dostęp do informacji, które powinny być chronione.
Rekomendacja
Zaleca się aktualizację do wersji Apache MINA 2.10 lub nowszej, aby zlikwidować tę podatność. Należy również przeanalizować konfigurację serwera SFTP w celu ograniczenia dostępu do wrażliwych danych.
Oryginalny opis (angielski, źródło NVD)
Exposure of Sensitive Information to an Unauthorized Actor vulnerability in Apache Software Foundation Apache MINA. In SFTP servers implemented using Apache MINA SSHD that use a RootedFileSystem, logged users may be able to discover "exists/does not exist" information about items outside the rooted tree via paths including parent navigation ("..") beyond the root, or involving symlinks. This issue affects Apache MINA: from 1.0 before 2.10. Users are recommended to upgrade to 2.10