CVE-2025-64152: Vulnerabilidade de Path Traversal no Apache IoTDB
A CVE-2025-64152 é uma fragilidade de path traversal (CWE-22) no Apache IoTDB que permite que um caminho de arquivo saia de um diretório restrito. O registro indica como afetadas as faixas da versão 1.0.0 anterior à 1.3.6 e da versão 2.0.0 anterior à 2.0.7, e recomenda atualizar para a 1.3.6 ou a 2.0.7. O CNA atribuiu nota 9.1 (Crítica) no CVSS 3.1, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2025-64152 é uma falha de path traversal (CWE-22) no Apache IoTDB, descrita como limitação imprópria de um nome de caminho a um diretório restrito. O registro foi publicado pela Apache Software Foundation como CNA (security@apache.org) e aparece no NVD com classificação de severidade Crítica.
Impacto
- O vetor CVSS 3.1 informado é AV:N, AC:L, PR:N, UI:N, com alto impacto na confidencialidade e na integridade e sem impacto na disponibilidade.
- Segundo esse vetor, a falha é alcançável pela rede, não exige privilégios e não exige interação do usuário.
- Com base na classe CWE, um atacante que alcance a função vulnerável poderia, em tese, acessar ou alterar arquivos fora do diretório previsto. Os dados expostos dependem de detalhes de implantação que o registro não descreve.
Produtos e versões afetadas
- Apache IoTDB da versão 1.0.0 anterior à 1.3.6.
- Apache IoTDB da versão 2.0.0 anterior à 2.0.7.
Os campos estruturados de afetados e correções do registro estão vazios, portanto as faixas acima vêm apenas do texto da descrição.
Status de exploração
O catálogo KEV da CISA não lista esta CVE, e o registro não indica exploração ativa. Nenhuma exploração confirmada aparece nas fontes consultadas. A pontuação EPSS não está disponível.
Correção e mitigação
- O registro recomenda atualizar para a versão 1.3.6 na linha 1.x e para a versão 2.0.7 na linha 2.x.
- Inventarie todas as instâncias do Apache IoTDB e identifique as que estão nas faixas afetadas.
- Se a atualização não puder ser aplicada de imediato, reduza a exposição de rede do serviço, restrinja o acesso a hosts confiáveis e execute o serviço com o mínimo de privilégios sobre o sistema de arquivos. Essas medidas são práticas defensivas gerais e não constam no registro como mitigações oficiais.
Orientações de detecção
- Revise os logs do serviço e de acesso em busca de requisições que referenciem locais de arquivo incomuns ou fora do escopo.
- Monitore o acesso ao sistema de arquivos pela conta de serviço do IoTDB, buscando leituras ou gravações fora dos diretórios de dados esperados.
- Cruze os alertas com o inventário de ativos para confirmar quais instâncias executam versões afetadas.
Limitações das informações disponíveis
- Os campos estruturados de afetados e correções estão vazios, então os dados de versão vêm somente da descrição.
- O registro não descreve o componente vulnerável, as pré-condições nem o impacto completo sobre confidencialidade e integridade.
- O status da fonte está marcado como Deferred, e não há dados EPSS ou SSVC disponíveis.
- As duas threads de listas de discussão referenciadas não foram analisadas em detalhe para este resumo.
Perguntas frequentes
O que é a CVE-2025-64152?
É uma fragilidade de path traversal (CWE-22) no Apache IoTDB, em que um nome de caminho não é devidamente limitado a um diretório restrito.
Quais versões são afetadas?
O registro indica que o problema afeta o Apache IoTDB da versão 1.0.0 anterior à 1.3.6 e da versão 2.0.0 anterior à 2.0.7.
Quais versões devo usar para corrigir?
O registro recomenda atualizar para a versão 1.3.6 e para a versão 2.0.7.
Esta CVE é explorada atualmente?
Ela não está listada no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.