Lỗ hổng SQL Injection quan trọng trong Apache Traffic Control được đánh giá 9.9 CVSS — Bản vá ngay
Apache Software Foundation (ASF) đã triển khai các bản cập nhật bảo mật để giải quyết lỗ hổng bảo mật nghiêm trọng trong Traffic Control. Nếu khai thác thành công, lỗ hổng này có thể cho phép kẻ tấn công thực thi các lệnh Ngôn ngữ truy vấn có cấu trúc (SQL) tùy ý trong cơ sở dữ liệu.
Lỗ hổng tiêm SQL, được theo dõi với tên gọi CVE-2024-45387 , được đánh giá 9,9/10,0 trên hệ thống chấm điểm CVSS.
"Một lỗ hổng tiêm SQL trong Traffic Ops ở Apache Traffic Control <= 8.0.1, >= 8.0.0 cho phép người dùng có đặc quyền với vai trò 'admin', 'federation', 'operations', 'portal' hoặc 'steering' thực thi SQL tùy ý trên cơ sở dữ liệu bằng cách gửi yêu cầu PUT được thiết kế đặc biệt", những người bảo trì dự án cho biết trong một thông báo.
Apache Traffic Control là một triển khai mã nguồn mở của Mạng phân phối nội dung (CDN). Nó được AS công bố là một dự án cấp cao nhất (TLP) vào tháng 6 năm 2018.
Nhà nghiên cứu Yuan Luo của Tencent YunDing Security Lab đã được ghi nhận là người phát hiện và báo cáo lỗ hổng bảo mật. Lỗ hổng này đã được vá trong phiên bản Apache Traffic Control 8.0.2.
Sự phát triển này diễn ra khi ASF đã giải quyết được lỗ hổng bỏ qua xác thực trong Apache HugeGraph-Server (CVE-2024-43441) từ phiên bản 1.0 đến 1.3. Bản sửa lỗi cho lỗ hổng này đã được phát hành trong phiên bản 1.5.0.
Bản vá cho lỗ hổng bảo mật quan trọng trong Apache Tomcat ( CVE-2024-56337 ) cũng được phát hành sau khi có thể dẫn đến thực thi mã từ xa (RCE) trong một số điều kiện nhất định.
Người dùng được khuyến nghị cập nhật phiên bản phần mềm mới nhất để bảo vệ khỏi các mối đe dọa tiềm ẩn.