CVE-2021-36372
Publiée le 2021-11-19 · Dernière modification le 2026-06-17
Les versions d'Apache Ozone antérieures à la 1.2.0 stockent incorrectement les jetons de bloc (block tokens) dans leur base de données de métadonnées, ce qui permet de les récupérer et de les utiliser même après que l'accès a dû être révoqué. Un attaquant distant peut exploiter cette faille pour obtenir un accès non autorisé complet afin de lire, modifier ou supprimer des données. Cette attaque est facile à exécuter car elle ne nécessite ni authentification, ni interaction de l'utilisateur, et peut être réalisée via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In Apache Ozone versions prior to 1.2.0, Initially generated block tokens are persisted to the metadata database and can be retrieved with authenticated users with permission to the key. Authenticated users may use them even after access is revoked.