CVE-2026-72524

W Apache Doris FE HTTP REST API administracyjne były dostępne bez odpowiedniego uwierzytelnienia. Nieuwierzytelniony atakujący z dostępem sieciowym do usługi HTTP FE mógł wykonywać nieautoryzowane operacje administracyjne, potencjalnie wpływając na integralność i dostępność klastra oraz prowadząc do jego niestabilności lub odmowy usługi.

Niewystarczająca walidacja adresu URL sterownika JDBC w Apache Doris umożliwia uprzywilejowanemu użytkownikowi zdalne wykonanie kodu na FE (Frontend).

Podatność niewłaściwego uwierzytelniania w usłudze meta Apache Doris Frontend (FE) umożliwia nieuwierzytelnionemu zdalnemu atakującemu dostęp do wewnętrznych punktów końcowych usługi metadanych. Podatne punkty końcowe polegały na informacjach o węźle dostarczonych przez klienta do uwierzytelniania bez wystarczającego uwierzytelnienia strony żądającej. W pewnych konfiguracjach sieciowych zdalny atakujący może obejść zamierzoną kontrolę dostępu i uzyskać dostęp do wewnętrznych interfejsów metadanych FE, potencjalnie ujawniając poufne informacje o klastrze. Problem dotyczy Apache Doris od 2.0.0 do 2.0.*, od 2.1.0 do 2.1.*, od 3.0.0 do 3.0.*, od 3.1.0 do 3.1.*, od 4.0.0 przed 4.0.8 oraz od 4.1.0 przed 4.1.4. Wersje 1.2.x i wcześniejsze nie są dotknięte tą podatnością zaufania nagłówków.

Podatność nieprawidłowej autoryzacji w Apache Doris pozwala uwierzytelnionemu użytkownikowi obejść kontrolę uprawnień i odczytać dane, do których nie ma uprawnień, co skutkuje nieautoryzowanym ujawnieniem informacji. Problem dotyczy wersji od 2.0.0 do 2.1.*, od 3.0.0 do 3.0.*, od 4.0.0 przed 4.0.8 oraz od 4.1.0 przed 4.1.4.