PT-2021-21824 · Microsoft · Onefuzz
Bmc-Msft
·
Publicado
2021-08-13
·
Atualizado
2022-10-27
·
CVE-2021-37705
CVSS v3.1
10
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões 2.12.0 a 2.30.0 do OneFuzz
Descrição
O problema está relacionado a uma verificação de autorização incompleta no OneFuzz, permitindo que um usuário autenticado de qualquer locatário do Azure Active Directory faça chamadas de API autorizadas a uma instância vulnerável do OneFuzz. Isso pode resultar em acesso de leitura/gravação a dados privados, como informações sobre vulnerabilidades de software e falhas, ferramentas de teste de segurança e código e símbolos proprietários. Além disso, permite a adulteração de dados existentes e a execução não autorizada de código em recursos de computação do Azure.
Recomendações
Para as versões do OneFuzz 2.12.0 a 2.30.0, os usuários podem restringir o acesso ao locatário de uma instância do OneFuzz implantada reimplantando-a na configuração padrão, que omite a opção
--multi tenant domain.Para versões do OneFuzz anteriores à 2.31.0, atualize para a versão 2.31.0 ou posterior, que inclui a adição de uma verificação no nível do aplicativo do
issuer do token de portador em relação a uma lista de permissões configurada pelo administrador.Correção
Incorrect Authorization
Improper Authorization
Origin Validation Error
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Onefuzz