Apache · CouchDB
CVE-2022-24706
Remote Code Execution Vulnerability in Packaging
Что это
In Apache CouchDB prior to 3.2.2, an attacker can access an improperly secured default installation without authenticating and gain admin privileges. The CouchDB documentation has always made recommendations for properly securing an installation, including recommending using a firewall in front of all CouchDB installations.
CISA: Apache CouchDB contains an insecure default initialization of resource vulnerability which can allow an attacker to escalate to administrative privileges.
Что делать
Apply updates per vendor instructions.
Срок для федеральных ведомств США: 15 сентября 2022 г.
- Добавлена в список CISA
- 25 августа 2022 г.
- Опубликована
- 26 апреля 2022 г.
- Серьёзность
- Критическая 9,8 CVSS 3.1
- Вероятность атак в ближайшие 30 дней (EPSS)
- 93% в верхних 0,2% всех известных уязвимостей
- Тип слабости
- CWE-1188
- Подробнее
- NVD · CVE.org · CISA
Все ссылки (10)
- https://lists.apache.org/thread/w24wo0h8nlctfps65txvk0oc5hdcnv00
- https://docs.couchdb.org/en/3.2.2/setup/cluster.html
- http://www.openwall.com/lists/oss-security/2022/04/26/1
- http://www.openwall.com/lists/oss-security/2022/05/09/1
- http://www.openwall.com/lists/oss-security/2022/05/09/3
- http://www.openwall.com/lists/oss-security/2022/05/09/4
- http://www.openwall.com/lists/oss-security/2022/05/09/2
- http://packetstormsecurity.com/files/167032/Apache-CouchDB-3.2.1-Remote-Code-Execution.html
- https://medium.com/%40_sadshade/couchdb-erlang-and-cookies-rce-on-default-settings-b1e9173a4bcd
- http://packetstormsecurity.com/files/169702/Apache-CouchDB-Erlang-Remote-Code-Execution.html
Другие эксплуатируемые уязвимости Apache
| Добавлено | Уязвимость | Продукт | Серьёзность | Вероятность атаки |
|---|---|---|---|---|
| 8 окт. 2026 г. | Command Injection | Struts | Высокий 8,1 | 97% |
| 4 авг. 2026 г. | Missing Encryption of Sensitive Data | Tomcat | Высокий 7,5 | 99% |
| 16 апр. 2026 г. | Improper Input Validation | ActiveMQ | Высокий 8,8 | 98% |
| 1 мая 2025 г. | Improper Escaping of Output | HTTP Server | Критическая 9,1 | >99,9% |
| 1 апр. 2025 г. | Path Equivalence | Tomcat | Критическая 10,0 | 99,9% |
| 4 февр. 2025 г. | Forced Browsing | OFBiz | Критическая 9,8 | >99,9% |
| 18 сент. 2024 г. | Improper Access Control | HugeGraph-Server | Критическая 9,8 | 99,2% |
| 27 авг. 2024 г. | Incorrect Authorization | OFBiz | Высокий 8,1 | 99,4% |
Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.