BDU:2024-06016

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8) Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5) CVSS 7.5 · AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Уязвимость вызова AssumeRoleWithWebIdentity службы Security Token Service (AWS STS) единого API для взаимодействия со службами хранения объектов и локальными файлами Apache Arrow Rust Object Store, позволяющая нарушителю обойти ограничения безопасности и получить несанкционированный доступ к защищаемой информации

Соответствие зарубежным идентификаторам

CVE-2024-41178

Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →

Описание

Уязвимость вызова AssumeRoleWithWebIdentity службы Security Token Service (AWS STS) единого API для взаимодействия со службами хранения объектов и локальными файлами Apache Arrow Rust Object Store связана с недостаточной защитой регистрационных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности и получить несанкционированный доступ к защищаемой информации путем записи в журнал ошибки запроса с URL-адресом и учетными данными

Способ устранения

Использование рекомендаций: https://lists.apache.org/thread/3t0povdppnt2czv6crlsqhvyko93kcrg https://github.com/apache/arrow-rs/releases/tag/object_store_0.10.2 https://crates.io/crates/object_store/versions Компенсирующие меры: - использование другого механизма аутентификации AWS; - отключение ведения журнала.

Сведения записи

Дата публикации: 07.08.2024

Класс уязвимости: Уязвимость архитектуры

Статус: Подтверждена производителем

Устранение: Уязвимость устранена

Эксплойт: Данные уточняются

Уязвимое программное обеспечение

Производитель	Название	Версия	Платформа
Apache Software Foundation	Arrow Rust Object Store	от 0.5.0 до 0.10.1 включительно	Не указана

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.