PT-2021-10098 · Apache · Apache Traffic Control
Publicado
2021-01-26
·
Atualizado
2022-04-01
·
CVE-2020-17522
CVSS v3.1
5.8
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N |
**Nome do software vulnerável e versões afetadas:
Apache Traffic Control, versões 3.0.0 a 3.1.0
Apache Traffic Control, versões 4.0.0 a 4.1.0
Descrição:
O problema ocorre quando o ORT (agora por meio do atstccfg) gera arquivos ip allow.config, incluindo permissões que permitem que agentes mal-intencionados insiram e removam conteúdo arbitrário dos servidores de cache da CDN. Essas permissões também podem ser estendidas a endereços IP fora do intervalo desejado, potencialmente concedendo-as a clientes fora da arquitetura CDN.
Recomendações:
Para as versões 3.0.0 a 3.1.0, considere restringir o acesso aos arquivos ip allow.config para impedir modificações não autorizadas.
Para as versões 4.0.0 a 4.1.0, considere implementar medidas de segurança adicionais para limitar as permissões concedidas a endereços IP, garantindo que estejam dentro do intervalo desejado.
Como solução alternativa temporária, considere desativar a geração de arquivos ip allow.config via atstccfg até que um patch esteja disponível.
Correção
Incorrect Permission
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Apache Traffic Control