FICHE CVE

CVE-2020-15087

Publiée le 2020-06-30 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations de serveurs Presto (antérieures à la version 337) dont la communication interne sécurisée est activée sont vulnérables à un contournement d'autorisation. Un attaquant peut obtenir un accès de haut niveau à des données sensibles en appelant directement des API internes. Cela nécessite un accès réseau et un certain niveau d'interaction de l'utilisateur, bien qu'aucune authentification préalable ne soit nécessaire pour déclencher l'exploitation.

CVSS 3.17.4 ÉLEVÉE

Type de faiblesse

Autorisation incorrecte · CWE-285

Publiée2020-06-30

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

In Presto before version 337, authenticated users can bypass authorization checks by directly accessing internal APIs. This impacts Presto server installations with secure internal communication configured. This does not affect installations that have not configured secure internal communication, as these installations are inherently insecure. This only affects Presto server installations. This does NOT affect clients such as the CLI or JDBC driver. This vulnerability has been fixed in version 337. Additionally, this issue can be mitigated by blocking network access to internal APIs on the coordinator and workers.