PT-2022-15001 · Spicedb · Spicedb

Vroldanbet · Publicado 2022-01-11 · Atualizado 2024-08-21 · CVE-2022-21646

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

SpiceDB versão 1.3.0

Descrição

O problema diz respeito ao tratamento de relações com caracteres curinga no SpiceDB, especificamente nas operações exclusion ou intersection. Quando um usuário utiliza uma relação com caracteres curinga no ramo direito de uma operação exclusion ou dentro de uma operação intersection, a função Lookup/LookupResources pode retornar um recurso como “acessível”, mesmo que ele não seja acessível devido à inclusão do caractere curinga. Isso ocorre porque o curinga é totalmente ignorado no despacho da pesquisa na versão 1.3.0, resultando na ignorância do curinga banned na exclusão.

Recomendações

Para a versão 1.3.0, atualize para a versão 1.4.0 para resolver o problema.

Como solução alternativa temporária, não utilize curingas no lado direito de interseções ou dentro de exclusões.

Exploit

Correção

RCE

Improper Neutralization of Wildcards

Enumeração de Fraquezas

CWE-20

CWE-155

Identificadores relacionados

CVE-2022-21646

GHSA-7P8F-8HJM-WM92

GO-2022-0295

Produtos afetados

Spicedb

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/21xxx/CVE-2022-21646.json · Exploit
• https://github.com/authzed/spicedb · Nota
• https://github.com/authzed/spicedb/issues/358 · Nota
• https://github.com/authzed/spicedb/commit/15bba2e2d2a4bda336a37a7fe8ef8a35028cd970 · Correção
• https://github.com/authzed/spicedb/releases/tag/v1.4.0 · Nota
• https://github.com/authzed/spicedb/security/advisories/GHSA-7p8f-8hjm-wm92 · Nota
• https://osv.dev/vulnerability/CVE-2022-21646 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-21646 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-7p8f-8hjm-wm92 · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2022-0295 · Aviso do Fabricante