PT-2022-24509 · Hashicorp · Nomad+1

Publicado 2022-11-10 · Atualizado 2024-08-21 · CVE-2022-3866

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.0

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

HashiCorp Nomad e Nomad Enterprise, versões 1.4.0 a 1.4.1

Descrição

A vulnerabilidade permite que um token de identidade de carga de trabalho liste metadados não confidenciais para caminhos sob nomad/ que pertencem a outras tarefas no mesmo namespace.

Recomendações

Para as versões 1.4.0 a 1.4.1, atualize para a versão 1.4.2 para resolver o problema.

Correção

Exposure of Resource to Wrong Sphere

Enumeração de Fraquezas

CWE-668

Identificadores relacionados

CVE-2022-3866

GHSA-7WG4-8M5P-HRFG

GO-2022-1105

Produtos afetados

Nomad

Nomad Enterprise

Referências · 13

• https://github.com/hashicorp/nomad · Nota
• https://github.com/hashicorp/nomad/commit/3b24f26603e2b116ba324101afa8a7e3a7a769a5 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-3866 · Nota de Segurança
• https://github.com/advisories/GHSA-7wg4-8m5p-hrfg · Nota
• https://t.me/cibsecurity/52902 · Publicação no Telegram
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-3866 · Aviso do Fabricante
• https://t.me/cvenotify/37772 · Publicação no Telegram
• https://osv.dev/vulnerability/GO-2022-1105 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-7wg4-8m5p-hrfg · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2022-3866 · Nota de Segurança
• https://discuss.hashicorp.com/t/hcsec-2022-25-nomad-s-workload-identity-token-can-list-non-sensitive-metadata-for-nomad-paths/46167 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-3866 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-3866 · Aviso do Fabricante