CVE-2022-37397
Publiée le 2022-08-12 · Dernière modification le 2026-06-17
Les instances YugabyteDB 2.6.1 utilisant Microsoft Active Directory pour l'authentification YCQL sont concernées si la liaison LDAP anonyme (anonymous LDAP binding) est activée. Un attaquant non authentifié disposant d'un accès réseau à la base de données peut contourner les exigences de connexion en fournissant un mot de passe vide, lui octroyant ainsi un accès complet pour lire et modifier les données. Cette exploitation est simple à exécuter et ne nécessite aucun privilège particulier ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An issue was discovered in the YugabyteDB 2.6.1 when using LDAP-based authentication in YCQL with Microsoft’s Active Directory. When anonymous or unauthenticated LDAP binding is enabled, it allows bypass of authentication with an empty password.