CVE-2026-24014
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Wewnętrzny interfejs RPC DataNode w Apache IoTDB do tworzenia instancji Triggerów wykorzystuje nazwę przesłanego pliku JAR do budowania ścieżki pliku bez wystarczającej walidacji. Jeśli port RPC DataNode jest wystawiony na niezaufaną sieć, atakujący może użyć sekwencji przejścia do katalogu w nazwie JAR, aby zapisać pliki poza docelowym katalogiem instalacji Triggerów. Może to pozwolić na dowolny zapis plików z uprawnieniami procesu IoTDB.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego zapisu dowolnych plików przez atakującego, co może prowadzić do przejęcia kontroli nad serwerem IoTDB, uruchomienia złośliwego kodu lub modyfikacji krytycznych danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Apache IoTDB do wersji 2.0.8, która usuwa tę podatność. Należy również upewnić się, że wewnętrzny port RPC DataNode nie jest dostępny z niezaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
Apache IoTDB DataNode’s internal RPC interface for creating Trigger instances uses the uploaded Trigger JAR name to build a file path without sufficient validation. If the internal DataNode RPC port is exposed to an untrusted network, an attacker may use path traversal sequences in the JAR name to write files outside the intended Trigger installation directory. This could allow arbitrary file write with the permissions of the IoTDB process. This issue affects Apache IoTDB: from 1.3.3 before 2.0.8. Users are recommended to upgrade to version 2.0.8, which fixes the issue.