Apache CouchDBで認可チェック不備により_user等の内容が閲覧される
Summary
Apache CouchDB 3.5.2 以前では、認可チェックの不備により、非認可のAPIエンドポイント経由で接頭辞付きの_userまたは_replicatorデータベースの全内容を読み取られるおそれがあります。接頭辞付きのシステムデータベースを使う構成は非常に少ないとされています。修正版の 3.5.3 へアップグレードしてください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Apache CouchDB 3.5.2 以前では、認可チェックの不備により、非認可のAPIエンドポイント経由で接頭辞付きの_userまたは_replicatorデータベースの全内容を読み取られるおそれがあります。接頭辞付きのシステムデータベースを使う構成は非常に少ないとされています。修正版の 3.5.3 へアップグレードしてください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Apache Software Foundation | Apache CouchDB |
< 3.5.3 |
3.5.3 |
Original description The description as published by the source.
Missing authorisation checks in chttpd in Apache CouchDB 3.5.2 and below on all platforms allows any request to read the full contents of a prefixed _user or _replicator database via an unauthorised API endpoint.
The use of prefixed system databases is very rare.
Users are recommended to upgrade to version 3.5.3, which fixes this issue.
Source: NIST National Vulnerability Database NVD GitHub Advisory
References
- web lists.apache.org
- web lists.apache.org
- web nvd.nist.gov
- web github.com
- web openwall.com