PT-2022-13484 · Red Hat · Wildfly+2

Patrick Del Bello

·

Publicado

2022-05-10

·

Atualizado

2025-11-07

·

CVE-2022-0866

CVSS v3.1

5.3

Média

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Nome do software vulnerável e versões afetadas
Versões 7.1.0 e posteriores do JBoss EAP
Versões 11 e posteriores do WildFly quando o Elytron está habilitado
Descrição
Este problema está relacionado a uma falha de concorrência que pode fazer com que um principal de chamador incorreto seja retornado do contexto de sessão de um EJB configurado com um principal RunAs. A classe org.jboss.as.ejb3.component.EJBComponent possui um campo incomingRunAsIdentity usado pelo org.jboss.as.ejb3.security.RunAsPrincipalInterceptor para rastrear a identidade atual antes de mudar para uma nova criada usando o principal RunAs. Em um ambiente concorrente com vários usuários invocando um EJB configurado com um principal RunAs, é possível que o principal de chamada incorreto seja retornado por EJBComponent#getCallerPrincipal ou que EJBComponent#isCallerInRole retorne o valor incorreto, já que ambos os métodos dependem de incomingRunAsIdentity.
Recomendações
Para as versões 7.1.0 e posteriores do JBoss EAP, considere desativar o componente de segurança Elytron até que um patch esteja disponível.
Para as versões 11 e posteriores do WildFly, quando o Elytron estiver ativado, restrinja o acesso a EJBs configurados com um principal RunAs para minimizar o risco de exploração.
Como solução alternativa temporária, considere desativar o org.jboss.as.ejb3.security.RunAsPrincipalInterceptor até que um patch esteja disponível.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Incorrect Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BIT-WILDFLY-2022-0866
CVE-2022-0866
RHSA-2022:4918
RHSA-2022:4919
RHSA-2022:6782
RHSA-2022:6783
RHSA-2022:7409
RHSA-2022:7410
RHSA-2022:7411

Produtos afetados

Elytron
Jboss Eap
Wildfly