PT-2020-12313 · Red Hat · Openshift Api Server

Publicado 2020-06-12 · Atualizado 2021-07-21 · CVE-2020-10752

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

OpenShift API Server (versões afetadas não especificadas)

Descrição

Foi identificada uma falha no OpenShift API Server que não protegia adequadamente os OAuthTokens, vazando-os nos logs quando ocorria uma falha grave no servidor de API. Isso permite que um invasor com a capacidade de causar um erro no servidor API leia os logs e use o OAuthToken vazado para fazer login no servidor API com o token vazado.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Insertion into Log File

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-532

CWE-522

Identificadores relacionados

CVE-2020-10752

Produtos afetados

Openshift Api Server

Referências · 5

• https://github.com/openshift/origin/blob/master/vendor/k8s.io/kubernetes/staging/src/k8s.io/apiserver/pkg/server/filters/wrap.go#L39 · Nota
• https://github.com/openshift/enhancements/pull/323 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2020-10752 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-10752 · Aviso do Fabricante
• https://t.me/cvenotify/4341 · Publicação no Telegram