Średnia

Moderate severity vulnerability that affects org.apache.mesos:mesos

Ujawniono: 17.10.2018
Aktualizacja: 11.10.2026 11:21

Apache Mesos can be configured to require authentication to call the Executor HTTP API using JSON Web Token (JWT). In Apache Mesos versions pre-1.4.2, 1.5.0, 1.5.1, 1.6.0 the comparison of the generated HMAC value against the provided signature in the JWT implementation used is vulnerable to a timing attack because instead of a constant-time string comparison routine a standard == operator has been used. A malicious actor can therefore abuse the timing difference of when the JWT validation function returns to reveal the correct HMAC value.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	org.apache.mesos:mesos	< 1.4.2, >= 1.5.0, < 1.5.2, >= 1.6.0, < 1.6.1	1.4.2, 1.5.2, 1.6.1

Odnośniki

Ocena CVSS 5.9/10

Wektor CVSS: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
Słabość (CWE): CWE-200
Platforma: Java / Kotlin (Maven)
Paczka: org.apache.mesos:mesos
Ujawniono: 17.10.2018
Aktualizacja: 11.10.2026 11:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-c8cc-p3j7-4c7f - CC BY 4.0

Historia podatności: org.apache.mesos:mesos

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 6
Pierwsza → ostatnia: 10.2018 05.2022
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 5
Średnia 1

Ujawnienia w latach

2018: 1
2019: 1
2020: 0
2021: 0
2022: 4
2023: 0
2024: 0
2025: 0
2026: 0

14.05.2022

Crash when decoding malformed HTTP requests or malformed JSON payload

Wysoka · 7.5 CVE-2018-1330 >= 1.4.0, < 1.6.0 1.6.0
13.05.2022

Use after free in Apache Mesos

Wysoka · 7.5 CVE-2017-9790 < 1.1.3, >= 1.2.0, < 1.2.2, >= 1.3.0, < 1.3.1 1.1.3, 1.2.2, 1.3.1
13.05.2022

Denial of service in Apache Mesos

Wysoka · 7.5 CVE-2017-7687 < 1.1.3, >= 1.2.0, < 1.2.2, >= 1.3.0, < 1.3.1 1.1.3, 1.2.2, 1.3.1
13.05.2022

Docker image code execution with Apache Mesos

Wysoka · 7.8 CVE-2019-0204 < 1.4.3, >= 1.5.0, < 1.5.3, >= 1.6.0, < 1.6.2, >= 1.7.0, < 1.7.2 1.4.3, 1.5.3, 1.6.2, 1.7.2
06.03.2019

Stack Overflow in Apache Mesos

Wysoka · 7.5 CVE-2018-11793 < 1.4.3, >= 1.5.0, < 1.5.2, >= 1.6.0, < 1.6.2, >= 1.7.0, < 1.7.1 1.4.3, 1.5.2, 1.6.2, 1.7.1
17.10.2018

Moderate severity vulnerability that affects org.apache.mesos:mesos ten wpis

Średnia · 5.9 CVE-2018-8023 < 1.4.2, >= 1.5.0, < 1.5.2, >= 1.6.0, < 1.6.1 1.4.2, 1.5.2, 1.6.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację