CVE-2025-59060
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W Apache Ranger w wersjach do 2.7.0 wykryto problem z pomijaniem weryfikacji nazwy hosta w kliencie NiFiRegistryClient. Zalecane jest uaktualnienie do wersji 2.8.0, która naprawia ten problem.
Ocena ryzyka
Pominięcie weryfikacji nazwy hosta może umożliwić atak typu man-in-the-middle, co może prowadzić do przechwycenia lub modyfikacji komunikacji z rejestrem NiFi.
Rekomendacja
Zaktualizuj Apache Ranger do wersji 2.8.0 lub nowszej, która zawiera poprawkę.
Inne podatności w Apache Ranger
Zobacz wszystkie- CVE-2016-2174Wysokie
W narzędziu administracyjnym polityk w Apache Ranger przed wersją 0.5.3 występuje podatność na wstrzykiwanie SQL, która pozwala zdalnym, uwierzytelnionym administratorom na wykonywanie dowolnych poleceń SQL za pomocą parametru eventTime.
- CVE-2016-0735Wysokie
Apache Ranger w wersjach 0.5.x przed 0.5.2 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dostępu na poziomie zasobów nadrzędnych poprzez niewłaściwe zarządzanie polityką wykluczenia na poziomie zasobów.
- CVE-2015-0266Wysokie
Narzędzie administracyjne polityki w Apache Ranger przed wersją 0.5.0 pozwala zdalnym uwierzytelnionym użytkownikom na obejście zamierzonych ograniczeń dostępu poprzez bezpośredni dostęp do adresów URL modułów.
- CVE-2026-55799Krytyczne
Podatność zdalnego wykonania kodu w GraalScriptEngineCreator w Apache Ranger w wersjach do 2.8.0. Zaleca się aktualizację do wersji 2.9.0, która naprawia ten problem.
- CVE-2026-44416Krytyczne
Podatność zdalnego wykonania kodu poprzez dowolną instancję klasy w komponencie plugin-schema-registry w Apache Ranger do wersji 2.8.0. Zalecane jest uaktualnienie do wersji 2.9.0.
- CVE-2026-42537Krytyczne
Podatność zdalnego wykonania kodu poprzez wstrzyknięcie w URL JDBC w Apache Ranger do wersji 2.8.0. Zalecane jest uaktualnienie do wersji 2.9.0.
- CVE-2026-40920Krytyczne
Podatność eskalacji uprawnień poprzez parametr URL w Apache Ranger w wersjach do 2.8.0. Zalecane jest uaktualnienie do wersji 2.9.0.
- CVE-2026-32227Krytyczne
Podatność wstrzyknięcia SQL w Apache Ranger. Zalecane jest uaktualnienie do wersji 2.9.0, która naprawia problem.
- CVE-2026-28672Krytyczne
Podatność wstrzyknięcia poleceń (Command Injection) w Apache Ranger w wersjach od 0.6 do 2.8. Brak informacji o zalecanej wersji w opisie.
- CVE-2017-7676Krytyczne
Matcher zasobów polityki w Apache Ranger przed wersją 0.7.1 ignoruje znaki po znaku wieloznacznym '*', co może prowadzić do niezamierzonego zachowania.
Oryginalny opis (angielski, źródło NVD)
Hostname verification bypass issue in Apache Ranger NiFiRegistryClient is reported in Apache Ranger versions <= 2.7.0. Users are recommended to upgrade to version 2.8.0, which fixes this issue.