PT-2024-13373 · Cubefs · Cubefs
Adamkorcz
·
Publicado
2024-01-03
·
Atualizado
2024-06-28
·
CVE-2023-46738
CVSS v4.0
7.1
Alta
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do CubeFS anteriores à 3.3.1
Descrição
Foi detectada uma falha de segurança no HandlerNode do CubeFS que poderia permitir que usuários autenticados enviassem solicitações maliciosas, causando a falha do ObjectNode e impedindo que outros usuários o utilizassem. A causa principal foi o tratamento inadequado de solicitações HTTP recebidas, permitindo que um invasor controlasse a quantidade de memória que o ObjectNode alocaria. Uma solicitação maliciosa poderia esgotar a memória da máquina. Um invasor precisaria estar autenticado, ter permissões para excluir objetos e conhecer os nomes dos buckets existentes na implantação do CubeFS. O invasor mais provável é um usuário interno ou um invasor que tenha violado a conta de um usuário existente no cluster. Não há evidências de que esse ataque tenha sido explorado na prática.
Recomendações
Para versões do CubeFS anteriores à 3.3.1, a vulnerabilidade foi corrigida na versão 3.3.1; portanto, a atualização para essa versão ou posterior é a medida de mitigação recomendada. Não há outra medida de mitigação além da atualização.
Exploit
Correção
Allocation of Resources Without Limits
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Cubefs