PT-2022-5183 · Bifrost · Bifrost

Highjc3Wish · Publicado 2022-10-18 · Atualizado 2024-08-21 · CVE-2022-39267

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do Bifrost anteriores à 1.8.8-release

Descrição

O problema está relacionado à contornamento da autenticação nos grupos de usuários admin e monitor. Isso pode ser feito excluindo o campo X-Requested-With: XMLHttpRequest no cabeçalho da solicitação. Não há detalhes conhecidos sobre o número estimado de dispositivos potencialmente afetados em todo o mundo ou incidentes reais em que essa vulnerabilidade tenha sido explorada.

Recomendações

Para versões anteriores à 1.8.8-release, atualize para a versão 1.8.8-release ou posterior para resolver o problema.

Como solução temporária, considere restringir o acesso aos grupos de usuários admin e monitor até que um patch seja aplicado.

Evite modificar o cabeçalho X-Requested-With nas solicitações para minimizar o risco de exploração.

Exploit

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

BDU:2022-06440

CVE-2022-39267

GHSA-MXRX-FG8P-5P5J

GO-2022-1067

Produtos afetados

Bifrost

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/39xxx/CVE-2022-39267.json · Exploit
• https://github.com/brokercap/Bifrost · Nota
• https://github.com/brokercap/Bifrost/security/advisories/GHSA-mxrx-fg8p-5p5j · Correção
• https://github.com/brokercap/Bifrost/commit/63da5c8eb7eb21639ea7ac199fe10b5e07b03a8a · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-39267 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-39267 · Aviso do Fabricante
• ❌ https://github.com/brockercap/Bifrost/pull/201 · Nota, Deleted
• https://bdu.fstec.ru/vul/2022-06440 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-mxrx-fg8p-5p5j · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2022-1067 · Aviso do Fabricante