PT-2024-20591 · Dirac · Dirac

Aldbr + 2 · Publicado 2024-02-08 · Atualizado 2024-02-16 · CVE-2024-24825

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do DIRAC anteriores à 8.0.37

Descrição

O DIRAC é uma estrutura de recursos distribuídos. Nas versões afetadas, qualquer usuário poderia obter um token solicitado por outro usuário ou agente. Isso pode expor recursos a terceiros não autorizados.

Recomendações

Para versões anteriores à 8.0.37, atualize para a versão 8.0.37 para resolver o problema. Não há soluções alternativas conhecidas para esta vulnerabilidade. Como solução alternativa temporária, considere restringir o acesso a solicitações de token até que a atualização seja aplicada.

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2024-24825

GHSA-59QJ-JCJV-662J

PYSEC-2024-125

Produtos afetados

Dirac

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/24xxx/CVE-2024-24825.json · Exploit
• https://github.com/pypa/advisory-database/tree/main/vulns/dirac/PYSEC-2024-125.yaml · Nota
• https://github.com/DIRACGrid/DIRAC/commit/f9ddab755b9a69acb85e14d2db851d8ac0c9648c · Correção
• https://github.com/DIRACGrid/DIRAC/security/advisories/GHSA-59qj-jcjv-662j · Nota
• https://github.com/DIRACGrid/DIRAC/commit/9487921684e2925b4cf72d6c423718cf4950f3fe · Nota
• https://github.com/DIRACGrid/DIRAC · Nota
• https://t.me/cvenotify/71826 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1755770268897743032 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-59qj-jcjv-662j · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2024-125 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-24825 · Nota de Segurança
• https://twitter.com/CVEnew/status/1755741414485532755 · Publicação no Twitter
• https://twitter.com/cracbot/status/1756906216906002853 · Publicação no Twitter
• https://twitter.com/cracbot/status/1757283504759677031 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-24825 · Aviso do Fabricante