Wysoka

Hazelcast Executor Services don't check client permissions properly

Ujawniono: 19.07.2023
Aktualizacja: 11.10.2026 11:21

Impact

In Hazelcast Platform, 5.0 through 5.0.4, 5.1 through 5.1.6, and 5.2 through 5.2.3, and Hazelcast IMDG (all versions up to 4.2.z), Executor Services don't check client permissions properly, allowing authenticated users to execute tasks on members without the required permissions granted.

Patches

Fix versions: 5.3.0, 5.2.4, 5.1.7, 5.0.5

Workarounds

Users are only affected when they already use executor services (i.e., an instance exists as a distributed data structure).

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	com.hazelcast:hazelcast	>= 5.2.0, < 5.2.4, >= 5.1.0, < 5.1.7, < 5.0.5	5.2.4, 5.1.7, 5.0.5
Java / Kotlin (Maven)	com.hazelcast:hazelcast-enterprise	>= 5.2.0, < 5.2.4, >= 5.1.0, < 5.1.7, < 5.0.5	5.2.4, 5.1.7, 5.0.5

Odnośniki

Ocena CVSS 7.6/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:H
Słabość (CWE): CWE-862
Platforma: Java / Kotlin (Maven)
Paczka: com.hazelcast:hazelcast, com.hazelcast:hazelcast-enterprise
Ujawniono: 19.07.2023
Aktualizacja: 11.10.2026 11:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-c5vj-wp4v-mmvx - CC BY 4.0

Historia podatności: com.hazelcast:hazelcast

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (10) w archiwum

Wszystkich wpisów: 10
Pierwsza → ostatnia: 01.2022 10.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 4
Wysoka 5
Średnia 1

Ujawnienia w latach

2022: 4
2023: 2
2024: 2
2025: 0
2026: 2

08.10.2026

Hazelcast allows arbitrary member memory access by low-privileged client

Krytyczna CVE-2026-107726 >= 5.6.0, < 5.7.0, >= 5.5.0, < 5.7.0, < 5.7.0 5.7.0
08.10.2026

Hazelcast has an authorization bypass in IMap Predicates API

Wysoka CVE-2026-107725 >= 5.6.0, < 5.7.0, >= 5.5.0, < 5.7.0, < 5.7.0 5.7.0
27.02.2024

Missing permission checks on Hazelcast client protocol

Wysoka · 7.6 CVE-2023-45859 <= 4.1.10, >= 4.2, <= 4.2.8, >= 5.0, <= 5.0.5, >= 5.1, <= 5.1.7, >= 5.2.0, < 5.2.5, >= 5.3.0, < 5.3.5 5.2.5, 5.3.5
16.02.2024

Hazelcast Platform permission checking in CSV File Source connector

Wysoka · 6.5 CVE-2023-45860 >= 5.3.0, < 5.3.5, >= 5.2.0, < 5.2.5, <= 5.1.7 5.3.5, 5.2.5
19.07.2023

Hazelcast Executor Services don't check client permissions properly ten wpis

Wysoka · 7.6 CVE-2023-33265 >= 5.2.0, < 5.2.4, >= 5.1.0, < 5.1.7, < 5.0.5 5.2.4, 5.1.7, 5.0.5
27.12.2022

Hazelcast connection caching

Krytyczna · 9.1 CVE-2022-36437 < 3.12.13, >= 4.0, <= 4.0.6, >= 4.1, < 4.1.10, >= 4.2, < 4.2.6, >= 5.0, < 5.0.4, >= 5.1, < 5.1.3 3.12.13, 4.1.10, 4.2.6, 5.0.4, 5.1.3
24.05.2022

Deserialization of Untrusted Data in Hazelcast

Wysoka · 8.1 CVE-2016-10750 < 3.11 3.11
04.03.2022

XML External Entity Reference in Hazelcast

Krytyczna · 9.8 CVE-2022-0265 >= 5.1-beta1, < 5.1 5.1
21.01.2022

Security Advisory for "Log4Shell"

Krytyczna · 10.0 ghsa-v57x-gxfj-484q >= 5.0, < 5.0.2, >= 4.0.0, < 4.0.5, >= 4.1.1, < 4.1.8, >= 4.2, < 4.2.4 5.0.2, 4.0.5, 4.1.8, 4.2.4

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację