PT-2022-22966 · Microsoft · Azure Service Fabric Explorer
Lidor Ben Shitrit
·
Publicado
2022-10-11
·
Atualizado
2025-01-02
·
CVE-2022-35829
CVSS v3.1
6.2
Média
| Vetor | AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
Azure Service Fabric Explorer versões 8.1.316 e anteriores
Descrição
A vulnerabilidade permite que um invasor obtenha, potencialmente, direitos de administrador em um cluster. Ela afeta o Azure Service Fabric Explorer, uma ferramenta usada para gerenciar clusters do Azure Service Fabric, que são utilizados para criar e implantar aplicativos de microsserviços baseados em nuvem. O problema está relacionado a uma vulnerabilidade de escalonamento de privilégios, na qual um invasor com permissões de “Criar Aplicação Compose” via cliente SFX pode criar uma aplicação maliciosa, explorar uma vulnerabilidade de script entre sites (XSS) no campo “Nome da aplicação” e entregar uma carga maliciosa. Usando essa carga, o invasor pode, em última instância, reiniciar um nó do cluster e apagar todas as configurações personalizadas, como senhas e configurações de segurança.
Recomendações
Para as versões 8.1.316 e anteriores do Azure Service Fabric Explorer, atualize para uma versão que inclua a correção para este problema, conforme fornecido pela Microsoft em suas atualizações recentes. Como solução alternativa temporária, considere restringir o acesso ao cliente SFX para usuários com permissões de “Criar aplicativo Compose” para minimizar o risco de exploração. Evite usar o campo “Nome do aplicativo” no cliente SFX até que o problema seja resolvido.
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Azure Service Fabric Explorer