FICHE CVE

CVE-2026-44617

Publiée le 2026-07-30 · Dernière modification le 2026-10-23

🇫🇷 EN BREF

Les instances Apache Zeppelin (versions 0.11.1 à 0.12.0) utilisant LDAP pour l'authentification sont vulnérables à l'injection de filtres. Un attaquant distant non authentifié peut envoyer des requêtes spécialement conçues pour manipuler les requêtes LDAP, ce qui pourrait lui permettre de contourner l'authentification ou d'accéder à des informations d'utilisateurs non autorisées. Cette faille est relativement facile à exploiter car elle ne nécessite ni identifiants préalables ni interaction de l'utilisateur, seulement un accès réseau au serveur.

CVSS 3.16.5 MOYENNE

Type de faiblesse

CWE-90

Publiée2026-07-30

Dernière modification2026-10-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

LDAP filter injection vulnerability in Apache Zeppelin. LdapRealm used RFC 4514 distinguished-name escaping when constructing LDAP search filters instead of RFC 4515 filter escaping, leaving special filter characters insufficiently escaped. This is an incomplete fix of CVE-2024-31867. This issue affects Apache Zeppelin versions 0.11.1, 0.11.2, and 0.12.0. Users are recommended to upgrade to version 0.12.1, which fixes this issue.