CVE-2026-24013
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W Apache IoTDB wykryto podatność polegającą na obejściu uwierzytelniania przez fałszowanie parametru sessionId w zapytaniach Thrift RPC. Atakujący może wysyłać spreparowane żądania z podrobionym identyfikatorem sesji, uzyskując wyniki zapytań bez uprzedniego uwierzytelnienia. Problem dotyczy wersji od 1.3.3 do 2.0.7.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego odczytu danych szeregów czasowych przez atakującego, co może prowadzić do wycieku poufnych informacji i naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację Apache IoTDB do wersji 2.0.8, która usuwa tę podatność. Należy również przejrzeć konfigurację uwierzytelniania i monitorować logi pod kątem podejrzanych żądań.
Oryginalny opis (angielski, źródło NVD)
Authentication Bypass by Spoofing vulnerability in Apache IoTDB. Certain Thrift RPC query handlers lack strict validation of the sessionId parameter. An attacker can construct requests with a forged sessionId and, without performing openSession authentication, receive valid query results. This allows authentication bypass and unauthorized reading of time-series data. This issue affects Apache IoTDB: from 1.3.3 before 2.0.8. Users are recommended to upgrade to version 2.0.8, which fixes the issue.