PT-2022-23603 · Unknown · Fedora Core

Benjamin Gilbert · Publicado 2022-11-03 · Atualizado 2023-07-21 · CVE-2022-3675

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Fedora CoreOS (versões afetadas não especificadas)

Descrição

O problema está relacionado a uma configuração incorreta nas versões recentes do Fedora CoreOS que permite inicializar implantações OSTree não padrão sem inserir uma senha, mesmo quando uma senha do carregador de inicialização GRUB é definida usando uma configuração Butane. Isso permite que alguém com acesso ao menu do GRUB inicialize uma versão mais antiga do Fedora CoreOS, revertendo efetivamente quaisquer correções de segurança aplicadas recentemente. No entanto, ainda é necessária uma senha para modificar argumentos da linha de comando do kernel e para acessar a linha de comando do GRUB.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Missing Authentication

RCE

Enumeração de Fraquezas

CWE-306

CWE-20

Identificadores relacionados

CVE-2022-3675

Produtos afetados

Fedora Core

Referências · 7

• https://github.com/coreos/fedora-coreos-tracker/issues/1333 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-3675 · Nota de Segurança
• https://t.me/cibsecurity/52527 · Publicação no Telegram
• https://t.me/cvenotify/37018 · Publicação no Telegram
• https://lists.fedoraproject.org/archives/list/[e-mail]/thread/NHUCNH5Y4UH5DPUCXISYXXVA563TLFEJ · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-3675 · Aviso do Fabricante
• https://docs.fedoraproject.org/en-US/fedora-coreos/grub-password · Aviso do Fabricante