PT-2022-26517 · Hashicorp · Vagrant+1

Bastien Secher · Publicado 2022-10-11 · Atualizado 2023-08-08 · CVE-2022-42717

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Hashicorp Packer anteriores à 2.3.1

Descrição

Foi detectada uma falha na configuração recomendada do sudoers para o Vagrant no Linux, que apresenta uma vulnerabilidade de segurança. Usuários sem privilégios no host podem explorar um curinga na configuração do sudoers para executar comandos arbitrários como root.

Recomendações

Para versões do Hashicorp Packer anteriores à 2.3.1, atualize para a versão 2.3.1 ou posterior para resolver o problema. Como solução temporária, considere revisar e restringir a configuração do sudoers para minimizar o risco de exploração.

Correção

Improper Access Control

Enumeração de Fraquezas

CWE-284

Identificadores relacionados

AZL-11115

CVE-2022-42717

Produtos afetados

Hashicorp Packer

Vagrant

Referências · 10

• https://github.com/hashicorp/vagrant/pull/12910 · Correção
• https://osv.dev/vulnerability/AZL-11115 · Aviso do Fabricante
• https://vagrantup.com/docs/synced-folders/nfs · Nota
• https://t.me/cibsecurity/51238 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-42717 · Nota de Segurança
• https://ubuntu.com/security/CVE-2022-42717 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-42717 · Aviso do Fabricante
• https://discuss.hashicorp.com/t/hcsec-2022-23-vagrant-nfs-sudoers-configuration-allows-for-local-privilege-escalation/45423 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2022-42717 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-42717 · Aviso do Fabricante