PT-2020-9988 · Htcondor · Htcondor

Tj Knoeller · Publicado 2020-04-27 · Atualizado 2022-10-06 · CVE-2019-18823

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões 8.8.6 e anteriores do HTCondor

Versões 8.9.4 e anteriores do HTCondor

Descrição:

O problema está relacionado a um controle de acesso incorreto, permitindo o uso de um método de autenticação diferente do especificado pelo administrador para enviar um trabalho. Se o administrador tiver configurado os métodos READ ou WRITE para incluir CLAIMTOBE, é possível se passar por outro usuário no condor schedd, permitindo potencialmente ações como enviar ou remover trabalhos.

Recomendações:

Para as versões 8.8.6 e anteriores do HTCondor, atualize para uma versão que inclua a correção para este problema.

Para as versões 8.9.4 e anteriores do HTCondor, atualize para uma versão que inclua a correção para este problema.

Como solução alternativa temporária, considere restringir o uso de CLAIMTOBE nos métodos READ e WRITE para impedir a falsificação de identidade.

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2019-18823

DLA-2724-1

DSA-5144-1

Produtos afetados

Htcondor

Referências · 28

• https://github.com/htcondor/htcondor/commit/07e33c8b14aa00e04d045d4d79c963db082a3129 · Nota
• https://github.com/htcondor/htcondor/commit/5c84c6f0b3db4eda1eec42c2c708069bb9393f0b · Nota
• https://github.com/htcondor/htcondor/commit/cbcb93695a932d511c1c7bd40aed1eabeff01d8d · Nota
• https://github.com/htcondor/htcondor/commit/95eaee86e7ad3852c17df46a1b8b193dabd1fd14 · Nota
• https://github.com/htcondor/htcondor/commit/3916209123a8ef762b7a9cd84ca0cf8b2cd99716 · Nota
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/VMPZ7XPOPA4JGAQAUJ4K7JV653DSCIDK · Aviso do Fabricante
• https://research.cs.wisc.edu/htcondor/security/vulnerabilities/HTCONDOR-2020-0001.html · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2019-18823 · Nota de Segurança
• https://ubuntu.com/security/CVE-2019-18823 · Aviso do Fabricante
• https://research.cs.wisc.edu/htcondor/security/vulnerabilities/HTCONDOR-2020-0002.html · Aviso do Fabricante
• https://lists.debian.org/debian-lts-announce/2021/08/msg00000.html · Nota
• https://t.me/cvenotify/18428 · Publicação no Telegram
• https://research.cs.wisc.edu/htcondor/security/vulnerabilities/HTCONDOR-2020-0004.html · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/3EOTJJOSMYKXIYXWSG3H4KN332EDSEB6 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2019-18823 · Aviso do Fabricante