Le bulletin signale la découverte de multiples vulnérabilités affectant plusieurs produits de la fondation Apache Software Foundation, notamment Apache Hive, Apache Spark, Apache Traffic Control, Apache MINA et Apache HugeGraph-Server. Ces failles, identifiées sous les références CVE-2024-23945, CVE-2024-45387, CVE-2024-52046 et CVE-2024-4344, permettent à un attaquant d’exploiter des mécanismes de gestion de cookies non sécurisés, des injections SQL, des failles de désérialisation et des contournements d’authentification.
Le niveau de gravité de ces vulnérabilités est élevé à critique, avec des scores CVSS pouvant atteindre 10.0. Elles exposent les systèmes concernés à des risques majeurs, notamment l’exécution de code à distance, l’injection de requêtes malveillantes, l’élévation de privilèges, l’accès non autorisé aux données sensibles ainsi que la compromission complète des infrastructures.
Les versions impactées concernent plusieurs produits Apache, notamment Apache Hive de la version 1.2.0 à 4.0.0, Apache Spark de la version 2.0.0 à 3.5, Apache Traffic Control versions 8.0.0 à 8.0.1, Apache MINA versions 2.0 à 2.2.3 ainsi que Apache HugeGraph-Server versions 1.0 à 1.3.
Afin de limiter les risques, il est fortement recommandé de procéder sans délai à la mise à jour des systèmes vers les versions corrigées publiées par les éditeurs, notamment Apache Traffic Control 8.0.2 ou supérieur, Apache MINA 2.0.27 / 2.1.10 / 2.2.4 et Apache HugeGraph-Server 1.5.0. Il est également conseillé de renforcer les contrôles de validation des données, en particulier pour les mécanismes de désérialisation et de gestion des cookies, de restreindre les accès aux systèmes critiques et de surveiller toute activité suspecte.
En l’absence de correctif, ces vulnérabilités peuvent être exploitées pour compromettre les systèmes, exécuter du code malveillant, accéder à des informations sensibles et perturber le fonctionnement des services.
En conclusion, cette alerte nécessite une prise en charge immédiate, en particulier par la mise à jour des systèmes affectés et le renforcement des mesures de sécurité et de surveillance.
