リモートホストで実行されているバージョンの Apache Storm は、以下のような複数の脆弱性の影響を受けます。

  - Apache Storm スーパーバイザーサーバーのワーカーサービスに安全でない逆シリアル化の脆弱性があり、事前認証のリモートコードの実行 (RCE) が引き起こされる可能性があります。(CVE-2021-40865)

  - getTopologyHistory サービスに、コマンドインジェクションの脆弱性があります。Nimbus サーバーに対する特別に細工された thrift リクエストにより、認証の前にリモートでコードが実行 (RCE) される可能性があります。(CVE-2021-38294)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Apache Storm 1.x < 1.2.4 / 2.1.x < 2.1.1 / 2.2.x < 2.2.1 の複数の脆弱性

critical Nessus プラグイン ID 181874

バージョン 1.0