PT-2022-16358 · Keylime · Keylime

Matthias Gerstner · Publicado 2022-09-21 · Atualizado 2022-09-22 · CVE-2022-23948

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Keylime anteriores à 6.3.0

Descrição

Uma falha na lógica do agente Keylime para verificação de montagens seguras pode ser explorada, permitindo que informações confidenciais sejam vazadas para outros processos no host. Isso ocorre porque montagens sem privilégios criadas anteriormente podem enganar a verificação de montagem segura.

Recomendações

Para versões anteriores à 6.3.0, atualize para a versão 6.3.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso a informações confidenciais no host para minimizar o risco de vazamento de segredos.

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2022-23948

GHSA-WJ36-QCFG-5J52

OPENSUSE-SU-2024:11785-1

Produtos afetados

Keylime

Referências · 7

• 🔥 https://seclists.org/oss-sec/2022/q1/101 · Exploit
• https://github.com/keylime/keylime/commit/1a4f31a6368d651222683c9debe7d6832db6f607 · Correção
• https://github.com/keylime/keylime/security/advisories/GHSA-wj36-qcfg-5j52 · Nota
• https://github.com/keylime/keylime/commit/d37c406e69cb6689baa2fb7964bad75209703724 · Correção
• https://t.me/cibsecurity/50228 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-23948 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-23948 · Nota de Segurança