PT-2022-16019 · Sentry · Sentry

Mdtrop · Publicado 2022-12-10 · Atualizado 2022-12-13 · CVE-2022-23485

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do Sentry anteriores à 22.11.0

Descrição

O Sentry é uma plataforma de rastreamento de erros e monitoramento de desempenho. Um invasor com um link de convite válido conhecido poderia manipular um cookie para permitir que o mesmo link de convite fosse reutilizado em várias contas ao ingressar em uma organização. Como resultado, um invasor com um link de convite válido pode criar vários usuários e ingressar em uma organização para a qual talvez não tenha sido originalmente convidado.

Recomendações

Para versões anteriores à 22.11.0, atualize para a versão 22.11.0 ou posterior para resolver o problema.

Para instalações auto-hospedadas do Sentry que não possam ser atualizadas, desative a funcionalidade de convite editando o arquivo sentry.conf.py e definindo SENTRY FEATURES[“organizations:invite-members”] como False; em seguida, reinicie o serviço web do Sentry.

Exploit

Correção

Improper Access Control

Improper Privilege Management

Enumeração de Fraquezas

CWE-284

CWE-269

Identificadores relacionados

CVE-2022-23485

GHSA-JV85-MQXJ-3F9J

PYSEC-2022-43011

Produtos afetados

Sentry

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/23xxx/CVE-2022-23485.json · Exploit
• https://github.com/getsentry/sentry · Nota
• https://github.com/getsentry/sentry/security/advisories/GHSA-jv85-mqxj-3f9j · Nota
• https://github.com/getsentry/sentry/commit/565f971da955d57c754a47f5802fe9f9f7c66b39 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/sentry/PYSEC-2022-43011.yaml · Nota
• https://osv.dev/vulnerability/GHSA-jv85-mqxj-3f9j · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-23485 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-23485 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-23485 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-23485 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2022-23485 · Nota de Segurança
• https://t.me/cibsecurity/54254 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2022-43011 · Aviso do Fabricante