CVE-2026-107726
KrytyczneCVSS 9.3Streszczenie
Hazelcast przed wersjami 5.4.5, 5.5.10 i 5.6.1 zawiera błąd niewłaściwej walidacji danych od złośliwego klienta, co umożliwia dowolny odczyt z pamięci heap i poza-heap członka klastra oraz przestrzeni adresowej procesu JVM. Ta sama wada może spowodować awarię członków klastra, a w niektórych konfiguracjach Hazelcast Enterprise Edition uszkodzenie pamięci z możliwym wykonaniem dowolnego kodu. Problem naprawiono w wersjach 5.4.5, 5.5.10, 5.6.1 i 5.7.0.
Ocena ryzyka
Atakujący z dostępem do klastra może odczytać poufne dane z pamięci, wywołać awarię usługi lub w niektórych konfiguracjach wykonać dowolny kod.
Rekomendacja
Należy zaktualizować Hazelcast do wersji 5.4.5, 5.5.10, 5.6.1 lub 5.7.0 oraz ograniczyć dostęp sieciowy do klastra wyłącznie do zaufanych klientów.
Inne podatności w Hazelcast
Zobacz wszystkie- CVE-2026-107725Wysokie
Hazelcast to platforma danych czasu rzeczywistego. W wersjach przed 5.4.5, 5.5.10 i 5.6.1 brak kontroli autoryzacji w API IMap Predicates pozwala złośliwemu klientowi z ograniczonymi uprawnieniami na wykonanie dowolnego kodu na członku klastra Hazelcast.
- CVE-2023-33265Wysokie
W Hazelcast w wersjach od 5.0.4, 5.1 do 5.1.6 oraz 5.2 do 5.2.3 usługi wykonawcze nie sprawdzają poprawnie uprawnień klientów, co pozwala uwierzytelnionym użytkownikom na wykonywanie zadań na członkach bez wymaganych uprawnień.
- CVE-2023-33264Średnie
W wersjach Hazelcast od 5.0.4 do 5.2.3, procedury konfiguracyjne nie maskują haseł w konfiguracji członków, co umożliwia użytkownikom Hazelcast Management Center podglądanie niektórych sekretów.
Oryginalny opis (angielski, źródło NVD)
Hazelcast is a unified real-time data platform combining stream processing with a fast data store. Prior to 5.4.5, 5.5.10, and 5.6.1, improper validation of data supplied by a malicious client able to connect to a cluster allows arbitrary reads from a cluster member's Java heap, off-heap data, and JVM process address space. The same flaw can crash cluster members and, in some Hazelcast Enterprise Edition configurations, corrupt memory with possible arbitrary code execution. Both slim and full distributions are affected. This issue is fixed in versions 5.4.5, 5.5.10, 5.6.1, and 5.7.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS