BDU:2025-12605

Опубликовано: 24 сент. 2025

Источник: fstec

CVSS3: 4.3

CVSS2: 4

EPSS Низкий

Описание

Уязвимость команд Snapshot/Restore компонента AdminServer централизованной службы для поддержки информации о конфигурации, именования, обеспечения распределенной синхронизации и предоставления групповых служб Apache ZooKeeper связана с некорректной обработкой недостаточных разрешений или привилегий. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды

Вендор

Red Hat Inc.

ООО «Ред Софт»

Apache Software Foundation

Наименование ПО

Red Hat AMQ Broker

Red Hat JBoss Enterprise Application Platform Expansion Pack

РЕД ОС

Red Hat JBoss Enterprise Application Platform

Red Hat build of Apache Camel for Spring Boot

ZooKeeper

Streams for Apache Kafka

Версия ПО

7 (Red Hat AMQ Broker)

- (Red Hat JBoss Enterprise Application Platform Expansion Pack)

7.3 (РЕД ОС)

8 (Red Hat JBoss Enterprise Application Platform)

4 (Red Hat build of Apache Camel for Spring Boot)

от 3.9.0 до 3.9.4 (ZooKeeper)

2 (Streams for Apache Kafka)

3 (Streams for Apache Kafka)

Тип ПО

Прикладное ПО информационных систем

Операционная система

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 4,3)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для ZooKeeper:

https://lists.apache.org/thread/r5yol0kkhx2fzw22pxk1ozwm3oc6yxrx

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2025-58457

Для Ред ОС: http://repo.red-soft.ru/redos/8.0/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-58457
CVE

EPSS

Процентиль: 27%

0.00093

Низкий

4.3 Medium

CVSS3

4 Medium

CVSS2

Связанные уязвимости

ROS-20251223-7314

CVSS3: 4.3

redos

24 дня назад

Уязвимость zookeeper

CVE-2025-58457

CVSS3: 4.3

ubuntu

4 месяца назад

Improper permission check in ZooKeeper AdminServer lets authorized clients to run snapshot and restore command with insufficient permissions. This issue affects Apache ZooKeeper: from 3.9.0 before 3.9.4. Users are recommended to upgrade to version 3.9.4, which fixes the issue. The issue can be mitigated by disabling both commands (via admin.snapshot.enabled and admin.restore.enabled), disabling the whole AdminServer interface (via admin.enableServer), or ensuring that the root ACL does not provide open permissions. (Note that ZooKeeper ACLs are not recursive, so this does not impact operations on child nodes besides notifications from recursive watches.)

CVE-2025-58457

CVSS3: 4.3

nvd

4 месяца назад

CVE-2025-58457

CVSS3: 4.3

debian

4 месяца назад

Improper permission check in ZooKeeper AdminServer lets authorized cli ...

GHSA-2hmj-97jw-28jh

CVSS3: 4.3

github

4 месяца назад

Apache ZooKeeper: Insufficient Permission Check in AdminServer Snapshot/Restore Commands

EPSS

Процентиль: 27%

0.00093

Низкий

4.3 Medium

CVSS3

4 Medium

CVSS2