CVE-2025-55017: Vulnerabilidade de Path Traversal no Apache IoTDB
A CVE-2025-55017 é uma falha de path traversal (CWE-22) no Apache IoTDB, que afeta as versões 2.0.0 antes da 2.0.6 e 1.0.0 antes da 1.3.6. O CNA a classifica como crítica, com pontuação base CVSS 3.1 de 9.1, e o vetor indica acesso pela rede sem privilégios nem interação do usuário. A recomendação é atualizar para 1.3.6 ou 2.0.6, e nas fontes consultadas não há exploração confirmada.
Visão geral
A CVE-2025-55017 é classificada como CWE-22, limitação imprópria de um caminho a um diretório restrito. O CNA descreve que ela afeta o Apache IoTDB em duas linhas de versão. Os detalhes aqui vêm do registro e da thread na lista de discussão da Apache.
Impacto
- O vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N indica vetor de ataque pela rede, baixa complexidade, nenhum privilégio exigido e nenhuma interação do usuário, com alto impacto em confidencialidade e integridade e sem impacto em disponibilidade.
- Falhas de path traversal geralmente permitem acesso a arquivos fora dos diretórios previstos. O registro não detalha quais dados poderiam ser expostos.
Produtos e versões afetadas
- Apache IoTDB da versão 2.0.0 antes da 2.0.6.
- Apache IoTDB da versão 1.0.0 antes da 1.3.6.
- A lista estruturada de afetados no registro está vazia, por isso estes intervalos vêm do texto da descrição.
Status de exploração
O catálogo KEV da CISA não lista esta CVE. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Atualize o Apache IoTDB para a 1.3.6 ou a 2.0.6, conforme a linha de versão em uso.
- Limite a exposição de rede das instâncias do IoTDB a hosts confiáveis até que a atualização seja aplicada.
- Consulte a entrada no NVD e as comunicações do fornecedor para orientações atualizadas.
Orientações de detecção
- Revise os logs de acesso em busca de requisições que referenciem caminhos fora dos locais de dados esperados do IoTDB.
- Monitore a atividade do sistema de arquivos da conta de serviço do IoTDB em busca de leituras inesperadas.
Limitações das informações disponíveis
- O registro não contém entradas estruturadas de correção, valor EPSS nem valor SSVC. As versões corrigidas foram extraídas da descrição.
- Se uma implantação específica é explorável depende da configuração, que o registro não descreve.
- A existência de prova de conceito pública é desconhecida nas fontes consultadas.
Perguntas frequentes
Quais versões do Apache IoTDB são afetadas pela CVE-2025-55017?
Segundo a descrição, são afetadas as versões da 2.0.0 antes da 2.0.6 e da 1.0.0 antes da 1.3.6.
A CVE-2025-55017 é conhecida por ser explorada?
O catálogo KEV da CISA não a lista, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.