PT-2024-26366 · Minder · Minder
Adamkorcz
·
Publicado
2024-05-16
·
Atualizado
2024-05-20
·
CVE-2024-35185
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
Versões do Minder anteriores à 0.0.49
Descrição
O Minder é uma plataforma de segurança da cadeia de suprimentos de software. O ingester REST do Minder está vulnerável a um ataque de negação de serviço por meio de um endpoint REST controlado pelo invasor, o que pode causar a falha do servidor do Minder. Ao buscar dados com o ingester REST, o Minder envia uma solicitação a um endpoint e usa os dados do corpo da resposta como dados a serem avaliados em relação a uma determinada regra. Se a resposta for suficientemente grande, ela pode esgotar a memória da máquina e travar o servidor do Minder. O invasor pode controlar os endpoints REST remotos aos quais o Minder envia solicitações e pode configurá-los para retornar respostas com corpos de grande tamanho.
Recomendações
Para versões anteriores à 0.0.49, atualize para a versão 0.0.49 ou posterior para corrigir o problema. Como solução temporária, considere restringir o acesso ao ingestor REST para minimizar o risco de exploração. Evite usar o ingestor REST para buscar dados de endpoints REST não confiáveis ou controlados por invasores até que o problema seja resolvido.
Exploit
Correção
Resource Exhaustion
Allocation of Resources Without Limits
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Minder