CVE-2021-41033
Publiée le 2021-09-13 · Dernière modification le 2026-06-17
Les installations d'Eclipse Equinox sont affectées si elles utilisent HTTP (plutôt que HTTPS) pour les dépôts p2. Un attaquant positionné sur le réseau peut effectuer une attaque de l'homme du milieu (man-in-the-middle) pour transmettre des métadonnées malveillantes et installer des plug-ins frauduleux, ce qui pourrait mener à une exécution complète de code à distance. Bien qu'aucune authentification ni interaction de l'utilisateur ne soit requise, l'attaque est difficile à exécuter car elle nécessite une position réseau spécifique pour intercepter le trafic.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In all released versions of Eclipse Equinox, at least until version 4.21 (September 2021), installation can be vulnerable to man-in-the-middle attack if using p2 repos that are HTTP; that can then be exploited to serve incorrect p2 metadata and entirely alter the local installation, particularly by installing plug-ins that may then run malicious code.