CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2017-15694
https://notcve.org/view.php?id=CVE-2017-15694
When an Apache Geode server versions 1.0.0 to 1.8.0 is operating in secure mode, a user with write permissions for specific data regions can modify internal cluster metadata. A malicious user could modify this data in a way that affects the operation of the cluster. Cuando un servidor Apache Geode versiones desde 1.0.0 hasta 1.8.0 está operando en modo seguro, un usuario con permisos de escritura para regiones de datos específicas puede modificar los metadatos del clúster interno. Un usuario malicioso podría modificar estos datos de manera que afecte la operación del clúster. • http://www.securityfocus.com/bid/108870 https://lists.apache.org/thread.html/311505e7b7a045aaa246f0a1935703acacf41b954621b1363c40bf6f%40%3Cuser.geode.apache.org%3E • CWE-88: Improper Neutralization of Argument Delimiters in a Command ('Argument Injection') •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2017-15695
https://notcve.org/view.php?id=CVE-2017-15695
When an Apache Geode server versions 1.0.0 to 1.4.0 is configured with a security manager, a user with DATA:WRITE privileges is allowed to deploy code by invoking an internal Geode function. This allows remote code execution. Code deployment should be restricted to users with DATA:MANAGE privilege. Cuando un servidor de Apache Geode entre las versiones 1.0.0 y 1.4.0 está configurado con un gestor de seguridad, un usuario con privilegios DATA:WRITE puede implementar código mediante la invocación de una función Geode interna. Esto permite la ejecución remota de código. • http://www.securityfocus.com/bid/104465 https://lists.apache.org/thread.html/dc8875c0b924885a884eba6d5bd7dc3f123411b2d33cffd00e351c99%40%3Cuser.geode.apache.org%3E • CWE-863: Incorrect Authorization •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2017-15693
https://notcve.org/view.php?id=CVE-2017-15693
In Apache Geode before v1.4.0, the Geode server stores application objects in serialized form. Certain cluster operations and API invocations cause these objects to be deserialized. A user with DATA:WRITE access to the cluster may be able to cause remote code execution if certain classes are present on the classpath. En Apache Geode, en versiones anteriores a la v1.4.0, el servidor Geode almacena objetos de aplicación de forma serializada. Ciertas operaciones del clúster e invocaciones de la API hacen que estos objetos se deserialicen. • http://www.securityfocus.com/bid/103206 https://lists.apache.org/thread.html/cc3ec1d06062f54fdaa0357874c1d148fc54bb955f2d2df4ca328a3d%40%3Cuser.geode.apache.org%3E • CWE-502: Deserialization of Untrusted Data •
CVSS: 9.8EPSS: 1%CPEs: 1EXPL: 0CVE-2017-15692
https://notcve.org/view.php?id=CVE-2017-15692
In Apache Geode before v1.4.0, the TcpServer within the Geode locator opens a network port that deserializes data. If an unprivileged user gains access to the Geode locator, they may be able to cause remote code execution if certain classes are present on the classpath. En Apache Geode, en versiones anteriores a la v1.4.0, el TcpServer en el localizador Geode abre un puerto de red que deserializa datos. Si un usuario sin privilegios obtiene acceso al localizador Geode, podría ser capaz de provocar la ejecución remota de código si ciertas clases están presentes en la ruta de clase. • http://www.securityfocus.com/bid/103205 https://lists.apache.org/thread.html/d0e00f2e147a9e9b13a6829133092f349b2882bf6860397368a52600%40%3Cannounce.tomcat.apache.org%3E • CWE-502: Deserialization of Untrusted Data •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2017-15696
https://notcve.org/view.php?id=CVE-2017-15696
When an Apache Geode cluster before v1.4.0 is operating in secure mode, the Geode configuration service does not properly authorize configuration requests. This allows an unprivileged user who gains access to the Geode locator to extract configuration data and previously deployed application code. Cuando un clúster de Apache Geode, en versiones anteriores a la v1.4.0, está operando en modo seguro, el servicio de configuración Geode no autoriza las peticiones de configuración correctamente. Esto permite que un usuario no privilegiado que obtenga acceso al localizador Geode extraiga datos de configuración y el código de la aplicación anteriormente implementado. • https://lists.apache.org/thread.html/28989e6ed0d3c29e46a489ae508302a50407a40691d5dc968f78cd3f%40%3Cdev.geode.apache.org%3E • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •