Apache · CouchDB
CVE-2022-24706
Remote Code Execution Vulnerability in Packaging
De quoi s'agit-il
In Apache CouchDB prior to 3.2.2, an attacker can access an improperly secured default installation without authenticating and gain admin privileges. The CouchDB documentation has always made recommendations for properly securing an installation, including recommending using a firewall in front of all CouchDB installations.
CISA: Apache CouchDB contains an insecure default initialization of resource vulnerability which can allow an attacker to escalate to administrative privileges.
Que faire
Apply updates per vendor instructions.
Échéance pour les agences fédérales américaines : 15 septembre 2022
- Ajoutée à la liste de la CISA
- 25 août 2022
- Publiée
- 26 avril 2022
- Gravité
- Critique 9,8 CVSS 3.1
- Probabilité d'attaques dans les 30 prochains jours (EPSS)
- 93% dans les 0,2% les plus à risque de toutes les failles connues
- Faiblesse
- CWE-1188
- Plus de détails
- NVD · CVE.org · CISA
Toutes les références (10)
- https://lists.apache.org/thread/w24wo0h8nlctfps65txvk0oc5hdcnv00
- https://docs.couchdb.org/en/3.2.2/setup/cluster.html
- http://www.openwall.com/lists/oss-security/2022/04/26/1
- http://www.openwall.com/lists/oss-security/2022/05/09/1
- http://www.openwall.com/lists/oss-security/2022/05/09/3
- http://www.openwall.com/lists/oss-security/2022/05/09/4
- http://www.openwall.com/lists/oss-security/2022/05/09/2
- http://packetstormsecurity.com/files/167032/Apache-CouchDB-3.2.1-Remote-Code-Execution.html
- https://medium.com/%40_sadshade/couchdb-erlang-and-cookies-rce-on-default-settings-b1e9173a4bcd
- http://packetstormsecurity.com/files/169702/Apache-CouchDB-Erlang-Remote-Code-Execution.html
Autres failles exploitées chez Apache
| Ajouté | Faille | Produit | Gravité | Risque d'attaque |
|---|---|---|---|---|
| 8 oct. 2026 | Command Injection | Struts | Élevé 8,1 | 97% |
| 4 août 2026 | Missing Encryption of Sensitive Data | Tomcat | Élevé 7,5 | 99% |
| 16 avr. 2026 | Improper Input Validation | ActiveMQ | Élevé 8,8 | 98% |
| 1 mai 2025 | Improper Escaping of Output | HTTP Server | Critique 9,1 | >99,9% |
| 1 avr. 2025 | Path Equivalence | Tomcat | Critique 10,0 | 99,9% |
| 4 févr. 2025 | Forced Browsing | OFBiz | Critique 9,8 | >99,9% |
| 18 sept. 2024 | Improper Access Control | HugeGraph-Server | Critique 9,8 | 99,2% |
| 27 août 2024 | Incorrect Authorization | OFBiz | Élevé 8,1 | 99,4% |
Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.