Zipkin до версии 3.6.1 предоставляет конечные точки Spring Boot Actuator на порту API трассировки без аутентификации, что позволяет неаутентифицированным злоумышленникам получить доступ к конфиденциальной информации. Злоумышленники могут читать переменные среды, конфигурации компонентов и учетные данные хранилища через конечные точки исполнительного механизма или изменять уровни журнала для подавления ведения журнала.
Показать оригинальное описание (EN)
Zipkin through 3.6.1 exposes Spring Boot Actuator endpoints on the tracing API port without authentication, allowing unauthenticated attackers to access sensitive information. Attackers can read environment variables, bean configurations, and storage credentials via actuator endpoints, or modify log levels to suppress logging.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 4
https://github.com/openzipkin/zipkin
disclosure@vulncheck.com
https://github.com/openzipkin/zipkin/blob/878ce2a1fad54ca941d17fdcf2e1d924b148e…
disclosure@vulncheck.com
https://github.com/openzipkin/zipkin/issues/3835
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/zipkin-unauthenticated-spring-boot-actuato…
disclosure@vulncheck.com