PT-2024-14359 · Crateio · Cratedb
Tu0Laj1O
·
Publicado
2024-01-30
·
Atualizado
2024-02-06
·
CVE-2023-51982
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
CrateDB versão 5.5.1
Descrição
O problema está relacionado a uma vulnerabilidade de contorno de autenticação no componente da interface de usuário administrativa (Admin UI). Após configurar a autenticação por senha, a autenticação de identidade pode ser contornada definindo o cabeçalho de solicitação
X-Real-IP com um valor específico e acessando a Admin UI diretamente usando a identidade de usuário padrão.Recomendações
Para o CrateDB versão 5.5.1, considere desativar o acesso à interface de usuário administrativa até que um patch esteja disponível. Como solução temporária, restrinja o uso da identidade de usuário padrão para minimizar o risco de exploração. Evite usar o cabeçalho de solicitação
X-Real-IP no componente da interface de usuário administrativa afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Exploit
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Cratedb