CVSS: 9.1EPSS: 3%CPEs: 1EXPL: 0CVE-2020-1963
https://notcve.org/view.php?id=CVE-2020-1963
Apache Ignite uses H2 database to build SQL distributed execution engine. H2 provides SQL functions which could be used by attacker to access to a filesystem. Apache Ignite utiliza la base de datos H2 para construir el motor de ejecución distribuida de SQL. H2 proporciona funciones SQL que el atacante podría usar para acceder a un sistema de archivos. • http://www.openwall.com/lists/oss-security/2020/06/03/2 https://lists.apache.org/thread.html/r119024ef71c8d39f952df0950a275d09714715179aff544aea0129a3%40%3Cuser.ignite.apache.org%3E https://lists.apache.org/thread.html/r1933faf8a26c431f38a5f8dbbfab80254454e54e33a79be474b67dc4%40%3Cdev.ignite.apache.org%3E https://lists.apache.org/thread.html/rd43ae18588fd7bdb375be63bc95a651aab319ced6306759e1237ce67%40%3Cdev.ignite.apache.org%3E https://lists.apache.org/thread.html/rdf37011b92a31a67c299ff45655e2638f194fc814e5c6e2fde352884%40%3Cdev.ignite.apache.org%3E https://lists • CWE-862: Missing Authorization •
CVSS: 9.8EPSS: 1%CPEs: 2EXPL: 0CVE-2018-8018 – ignite: Improper deserialization allows for code execution via GridClientJdkMarshaller endpoint
https://notcve.org/view.php?id=CVE-2018-8018
In Apache Ignite before 2.4.8 and 2.5.x before 2.5.3, the serialization mechanism does not have a list of classes allowed for serialization/deserialization, which makes it possible to run arbitrary code when 3-rd party vulnerable classes are present in Ignite classpath. The vulnerability can be exploited if the one sends a specially prepared form of a serialized object to GridClientJdkMarshaller deserialization endpoint. En Apache Ignite versión anterior a 2.4.8 y versión 2.5. x versión anterior a 2.5.3, el mecanismo de serialización no tiene una lista de clases permitidas para la serialización/deserialización, lo que hace posible ejecutar código arbitrario cuando las clases vulnerables de un tercero están presentes en Ignite Classpath. La vulnerabilidad se puede se puede explotar si el envía un formulario especialmente preparado de un objeto serializado hacia el endpoint de conexión de deserialización GridClientJdkMarshaller. • http://www.securityfocus.com/bid/104911 https://access.redhat.com/errata/RHSA-2018:3768 https://lists.apache.org/thread.html/e0fdf53114a321142ecfa5cfa17658090f0b4e1677de431e329b37ab%40%3Cdev.ignite.apache.org%3E https://access.redhat.com/security/cve/CVE-2018-8018 https://bugzilla.redhat.com/show_bug.cgi?id=1607731 • CWE-502: Deserialization of Untrusted Data •