CISA ได้เพิ่มช่องโหว่ห้ารายการใน Known Exploited Vulnerabilities (KEV) แคตตาล็อก ซึ่งหนึ่งในนั้นเป็นช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ที่ส่งผลกระทบต่อ Apache HugeGraph-Server

ช่องโหว่หมายเลข CVE-2024-27348 (คะแนน CVSS: 9.8) ความรุนแรงระดับ critical เป็นช่องโหว่ในการควบคุมการเข้าถึงที่ไม่เหมาะสม ซึ่งส่งผลกระทบต่อ HugeGraph-Server เวอร์ชันตั้งแต่ 1.0.0 ขึ้นไป (แต่ไม่รวมถึง 1.3.0)

Apache แก้ไขช่องโหว่นี้เมื่อวันที่ 22 เมษายน 2024 โดยการปล่อยเวอร์ชัน 1.3.0 นอกจากการอัปเกรดเป็นเวอร์ชันล่าสุดแล้ว ผู้ใช้ยังได้รับคำแนะนำให้ใช้ Java 11 และเปิดใช้งานระบบการตรวจสอบสิทธิ์ (Auth system)

นอกจากนี้ ยังมีการเสนอให้เปิดใช้งานฟังก์ชัน "Whitelist-IP/port" เพื่อเพิ่มความปลอดภัยในการดำเนินการ RESTful-API ซึ่งเกี่ยวข้องกับการโจมตีอื่น ๆ ที่อาจเกิดขึ้น

ขณะนี้ CISA ได้แจ้งเตือนว่ามีการใช้ช่องโหว่ CVE-2024-27348 อย่างต่อเนื่องในโลกออนไลน์ โดยกำหนดให้หน่วยงานรัฐบาลกลาง และองค์กร infrastructure ต่าง ๆ มีเวลาจนถึงวันที่ 9 ตุลาคม 2024 เพื่อดำเนินการป้องกัน หรือเลิกใช้ผลิตภัณฑ์ดังกล่าว

Apache HugeGraph-Server เป็นส่วนประกอบหลักของโปรเจ็กต์ Apache HugeGraph ซึ่งเป็นฐานข้อมูลกราฟแบบโอเพ่นซอร์สที่ออกแบบมาเพื่อจัดการข้อมูลกราฟขนาดใหญ่ที่มีประสิทธิภาพสูง และความสามารถในการปรับขยายได้, รองรับการดำเนินการที่ซับซ้อนที่จำเป็นในการวิเคราะห์ความสัมพันธ์เชิงลึก, การจัดกลุ่มข้อมูล และ Path searches (more…)