PT-2022-23370 · Unknown+1 · Pulp Ansible+1

Publicado 2022-10-25 · Atualizado 2022-10-28 · CVE-2022-3644

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

pulp ansible (versões afetadas não especificadas)

Descrição

O problema diz respeito ao armazenamento de tokens em texto simples pelo coletor remoto do pulp ansible, em vez de utilizar o campo criptografado do pulp. Esses tokens ficam expostos no modo de leitura/gravação via API, ao contrário do modo de gravação exclusiva esperado.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

CWE-256

Identificadores relacionados

CVE-2022-3644

GHSA-QV37-MFJF-42H8

RHSA-2023:6818

Produtos afetados

Rocky Linux

Pulp Ansible

Referências · 9

• 🔥 https://github.com/pulp/pulp_ansible/blob/main/pulp_ansible/app/models.py#L234 · Exploit
• https://github.com/pulp/pulp_ansible/commit/d13c427b09482a7f598d8ee597d17a8a34888665 · Nota
• https://github.com/pulp/pulp_ansible · Nota
• https://github.com/pulp/pulp_ansible/issues/1221 · Nota
• https://t.me/cibsecurity/52067 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-3644 · Nota de Segurança
• https://errata.rockylinux.org/RLSA-2023:6818 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-qv37-mfjf-42h8 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-3644 · Aviso do Fabricante