Missing Authentication for Critical Function in Apache Calcite
"HttpUtils#getURLConnection method disables explicitly hostname verification for HTTPS connections making clients vulnerable to man-in-the-middle attacks. Calcite uses this method internally to connect with Druid and Splunk so information leakage may happen when using the respective Calcite adapters. The method itself is in a utility class so people may use it to create vulnerable HTTPS connections for other applications. From Apache Calcite 1.26 onwards, the hostname verification will be performed using the default JVM truststore."
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Java / Kotlin (Maven) | org.apache.calcite:calcite-core | < 1.26.0 | 1.26.0 |
| Java / Kotlin (Maven) | org.apache.calcite:calcite-druid | < 1.26.0 | 1.26.0 |
| Java / Kotlin (Maven) | org.apache.calcite:calcite-splunk | < 1.26.0 | 1.26.0 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2020-13955
- https://github.com/apache/calcite/commit/43eeafcbac29d02c72bd520c003cdfc571de2d15
- https://issues.apache.org/jira/browse/CALCITE-4298
- https://lists.apache.org/thread.html/r0b0fbe2038388175951ce1028182d980f9e9a7328be13d52dab70bb3%40%3Cdev.calcite.apache.org%3E
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N- Słabość (CWE)
CWE-295- Platforma
- Java / Kotlin (Maven)
- Paczka
org.apache.calcite:calcite-core, org.apache.calcite:calcite-druid, org.apache.calcite:calcite-splunk- Ujawniono
- 22.04.2021
- Aktualizacja
- 11.10.2026 11:21
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-hxp5-8pgq-mgv9 - CC BY 4.0
Historia podatności: org.apache.calcite:calcite-core
Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 3
- Pierwsza → ostatnia
- 04.2021 06.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 1
- Średnia 2
Ujawnienia w latach
- 2021: 1
- 2022: 1
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 1
-
Missing Authentication for Critical Function in Apache Calcite ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.