PT-2021-22991 · Hashicorp · Hashicorp Terraform Enterprise

Publicado 2021-09-15 · Atualizado 2022-07-12 · CVE-2021-40862

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do HashiCorp Terraform Enterprise até a v202108-1

Descrição

O problema diz respeito a um endpoint de API que divulgava incorretamente uma URL confidencial a usuários autenticados. Isso poderia ser potencialmente explorado para escalonamento de privilégios ou para realizar alterações não autorizadas em uma configuração do Terraform.

Recomendações

Para as versões do HashiCorp Terraform Enterprise até a v202108-1, atualize para a versão v202109-1 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint da API afetado para minimizar o risco de exploração.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2021-40862

Produtos afetados

Hashicorp Terraform Enterprise

Referências · 4

• https://osv.dev/vulnerability/CVE-2021-40862 · Aviso do Fabricante
• https://discuss.hashicorp.com/t/hcsec-2021-25-terraform-enterprise-configuration-versions-api-discloses-sensitive-url/29508 · Aviso do Fabricante
• https://t.me/cibsecurity/28938 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-40862 · Nota de Segurança