Alta

Hazelcast Executor Services don't check client permissions properly

Publicada: 19.07.2023
Actualizado: 11.10.2026 11:21

Impact

In Hazelcast Platform, 5.0 through 5.0.4, 5.1 through 5.1.6, and 5.2 through 5.2.3, and Hazelcast IMDG (all versions up to 4.2.z), Executor Services don't check client permissions properly, allowing authenticated users to execute tasks on members without the required permissions granted.

Patches

Fix versions: 5.3.0, 5.2.4, 5.1.7, 5.0.5

Workarounds

Users are only affected when they already use executor services (i.e., an instance exists as a distributed data structure).

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	com.hazelcast:hazelcast	>= 5.2.0, < 5.2.4, >= 5.1.0, < 5.1.7, < 5.0.5	5.2.4, 5.1.7, 5.0.5
Java / Kotlin (Maven)	com.hazelcast:hazelcast-enterprise	>= 5.2.0, < 5.2.4, >= 5.1.0, < 5.1.7, < 5.0.5	5.2.4, 5.1.7, 5.0.5

Referencias

Puntuación CVSS 7.6/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:H
Debilidad (CWE): CWE-862
Plataforma: Java / Kotlin (Maven)
Paquete: com.hazelcast:hazelcast, com.hazelcast:hazelcast-enterprise
Publicada: 19.07.2023
Actualizado: 11.10.2026 11:21

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-c5vj-wp4v-mmvx - CC BY 4.0

Historial de vulnerabilidades: com.hazelcast:hazelcast

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (10) en el archivo

Entradas en total: 10
Primera → última: 01.2022 10.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 4
Alta 5
Media 1

Divulgaciones por año

2022: 4
2023: 2
2024: 2
2025: 0
2026: 2

08.10.2026

Hazelcast allows arbitrary member memory access by low-privileged client

Crítica CVE-2026-107726 >= 5.6.0, < 5.7.0, >= 5.5.0, < 5.7.0, < 5.7.0 5.7.0
08.10.2026

Hazelcast has an authorization bypass in IMap Predicates API

Alta CVE-2026-107725 >= 5.6.0, < 5.7.0, >= 5.5.0, < 5.7.0, < 5.7.0 5.7.0
27.02.2024

Missing permission checks on Hazelcast client protocol

Alta · 7.6 CVE-2023-45859 <= 4.1.10, >= 4.2, <= 4.2.8, >= 5.0, <= 5.0.5, >= 5.1, <= 5.1.7, >= 5.2.0, < 5.2.5, >= 5.3.0, < 5.3.5 5.2.5, 5.3.5
16.02.2024

Hazelcast Platform permission checking in CSV File Source connector

Alta · 6.5 CVE-2023-45860 >= 5.3.0, < 5.3.5, >= 5.2.0, < 5.2.5, <= 5.1.7 5.3.5, 5.2.5
19.07.2023

Hazelcast Executor Services don't check client permissions properly esta entrada

Alta · 7.6 CVE-2023-33265 >= 5.2.0, < 5.2.4, >= 5.1.0, < 5.1.7, < 5.0.5 5.2.4, 5.1.7, 5.0.5
27.12.2022

Hazelcast connection caching

Crítica · 9.1 CVE-2022-36437 < 3.12.13, >= 4.0, <= 4.0.6, >= 4.1, < 4.1.10, >= 4.2, < 4.2.6, >= 5.0, < 5.0.4, >= 5.1, < 5.1.3 3.12.13, 4.1.10, 4.2.6, 5.0.4, 5.1.3
24.05.2022

Deserialization of Untrusted Data in Hazelcast

Alta · 8.1 CVE-2016-10750 < 3.11 3.11
04.03.2022

XML External Entity Reference in Hazelcast

Crítica · 9.8 CVE-2022-0265 >= 5.1-beta1, < 5.1 5.1
21.01.2022

Security Advisory for "Log4Shell"

Crítica · 10.0 ghsa-v57x-gxfj-484q >= 5.0, < 5.0.2, >= 4.0.0, < 4.0.5, >= 4.1.1, < 4.1.8, >= 4.2, < 4.2.4 5.0.2, 4.0.5, 4.1.8, 4.2.4

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación