PT-2020-16913 · Hashicorp+1 · Hashicorp Consul Enterprise+2

Publicado 2020-11-23 · Atualizado 2024-06-28 · CVE-2020-28053

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

HashiCorp Consul e Consul Enterprise, versões 1.2.0 a 1.8.5

Descrição

A vulnerabilidade permite que operadores com permissões ACL do tipo operator:read leiam a configuração da chave privada do Connect CA. Trata-se de um problema de escalonamento de privilégios.

Recomendações

Para as versões 1.2.0 a 1.5.9, atualize para a versão 1.6.10.

Para as versões 1.6.0 a 1.7.9, atualize para a versão 1.7.10.

Para as versões 1.8.0 a 1.8.5, atualize para a versão 1.8.6.

Correção

Incorrect Authorization

Incorrect Permission

Enumeração de Fraquezas

CWE-863

CWE-732

Identificadores relacionados

ALT-PU-2020-3391

ALT-PU-2020-3421

ALT-PU-2022-1256

BIT-CONSUL-2020-28053

CVE-2020-28053

GHSA-6M72-467W-94RH

GO-2024-2505

Produtos afetados

Alt Linux

Hashicorp Consul Enterprise

Hashicorp Consul

Referências · 18

• https://github.com/hashicorp/consul/blob/master/CHANGELOG.md#186-november-19-2020 · Nota
• https://github.com/hashicorp/consul/pull/9240 · Nota
• https://github.com/hashicorp/consul/issues/9240 · Nota
• https://github.com/hashicorp/consul/commit/ff5215d882ac51b49c2647aac46b42aa9c890ce3 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2020-28053 · Aviso do Fabricante
• https://security.gentoo.org/glsa/202208-09 · Aviso do Fabricante
• https://hashicorp.com/blog/category/consul · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-consul-2020-28053 · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2024-2505 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2020-28053 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-28053 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-28053 · Aviso do Fabricante
• https://github.com/advisories/GHSA-6m72-467w-94rh · Nota
• https://osv.dev/vulnerability/GHSA-6m72-467w-94rh · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2020-28053 · Nota de Segurança