CVE-2024-51504

Al utilizar IPAuthenticationProvider en el servidor de administración de ZooKeeper, existe la posibilidad de omisión de autenticación por suplantación; esto solo afecta a la autenticación basada en IP implementada en el servidor de administración de ZooKeeper. La configuración predeterminada de la detección de la dirección IP del cliente en IPAuthenticationProvider, que utiliza encabezados de solicitud HTTP, es débil y permite a un atacante omitir la autenticación mediante la suplantación de la dirección IP del cliente en los encabezados de solicitud. La configuración predeterminada respeta el encabezado HTTP X-Forwarded-For para leer la dirección IP del cliente. El encabezado de solicitud X-Forwarded-For es utilizado principalmente por servidores proxy para identificar al cliente y puede ser fácilmente suplantado por un atacante que pretenda que la solicitud proviene de una dirección IP diferente. Los comandos del servidor de administración, como instantánea y restauración, se pueden ejecutar arbitrariamente en caso de explotación exitosa, lo que podría provocar fugas de información o problemas de disponibilidad del servicio. Se recomienda a los usuarios que actualicen a la versión 3.9.3, que soluciona este problema.