一、 漏洞 CVE-2019-0201 基础信息
漏洞标题
N/A
来源：AIGC 神龙大模型
漏洞描述信息
## 概述 Apache ZooKeeper中的getACL()命令存在一个问题，即在检索节点的ACL时未进行权限检查，导致所有ACL Id字段中的信息以明文形式返回。这使得使用Digest Authentication时，未认证或未授权的用户可以通过getACL()请求泄露未加盐的哈希值。 ## 影响版本 - Apache ZooKeeper 1.0.0 到 3.4.13 - Apache ZooKeeper 3.5.0-alpha 到 3.5.4-beta ## 细节 ZooKeeper的getACL()命令在获取所需节点的ACL时没有进行权限检查。DigestAuthenticationProvider将用于用户认证的哈希值加载到Id字段中。因此，未认证或未授权的用户可以通过getACL()请求获取未加盐的哈希值。 ## 影响 由于未加盐的哈希值被泄露，攻击者可以利用这些哈希值进行密码破解，从而可能获取系统访问权限。未认证或未授权用户可能会利用此漏洞获取敏感信息。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
来源：AIGC 神龙大模型
漏洞类别
N/A
来源：AIGC 神龙大模型
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
An issue is present in Apache ZooKeeper 1.0.0 to 3.4.13 and 3.5.0-alpha to 3.5.4-beta. ZooKeeper’s getACL() command doesn’t check any permission when retrieves the ACLs of the requested node and returns all information contained in the ACL Id field as plaintext string. DigestAuthenticationProvider overloads the Id field with the hash value that is used for user authentication. As a consequence, if Digest Authentication is in use, the unsalted hash value will be disclosed by getACL() request for unauthenticated or unprivileged users.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
漏洞标题
Apache Zookeeper 授权问题漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Apache Zookeeper是美国阿帕奇（Apache）软件基金会的一个软件项目，它能够为大型分布式计算提供开源的分布式配置服务、同步服务和命名注册等功能。 Apache ZooKeeper 1.0.0版本至3.4.13版本和3.5.0-alpha版本至3.5.4-beta版本中存在授权问题漏洞。该漏洞源于网络系统或产品中缺少身份验证措施或身份验证强度不足。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
授权问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2019-0201 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2019-0201 的情报信息