PT-2024-15524 · Openssl+1 · Openssl+1

Will Dormann · Publicado 2024-04-03 · Atualizado 2024-04-03 · CVE-2024-0394

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Rapid7 Minerva Armor anteriores à 4.5.5

Descrição

O problema é uma vulnerabilidade de escalonamento de privilégios que permite que um invasor autenticado eleve privilégios e execute código arbitrário com privilégios de SISTEMA. Isso é causado pela implementação do parâmetro OPENSSLDIR do OpenSSL pelo produto, que está definido para um caminho acessível a usuários com privilégios reduzidos.

Recomendações

Para versões anteriores à 4.5.5, atualize para a versão 4.5.5 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao caminho OPENSSLDIR para impedir que usuários com privilégios limitados explorem a vulnerabilidade.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2024-0394

Produtos afetados

Openssl

Rapid7 Minerva Armor

Referências · 4

• https://twitter.com/CVEnew/status/1775517974553661461 · Publicação no Twitter
• https://twitter.com/f1tym1/status/1775534912113700944 · Publicação no Twitter
• https://rapid7.com/blog/post/2024/04/03/cve-2024-0394-rapid7-minerva-armor-privilege-escalation-fixed · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-0394 · Nota de Segurança