PT-2024-28955 · Steeltoe · Steeltoe.Discovery.Eureka

Timhess · Publicado 2024-07-17 · Atualizado 2024-07-18 · CVE-2024-40636

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Steeltoe.Discovery.Eureka anteriores à 3.2.8

Descrição

O problema diz respeito ao vazamento de credenciais nos logs ao utilizar múltiplas URLs de serviço do servidor Eureka com autenticação básica e ao ocorrer um erro na obtenção do registro de serviços. Apenas a primeira URL é mascarada no log de erros, o que pode expor as credenciais das URLs subsequentes. O código em questão está localizado no arquivo DiscoveryClient.cs.

Recomendações

Para versões do Steeltoe.Discovery.Eureka anteriores à 3.2.8, atualize para a versão 3.2.8 do pacote NuGet Steeltoe.Discovery.Eureka para resolver o problema de vazamento de credenciais. Como solução alternativa temporária, considere restringir o acesso aos logs para minimizar o risco de exposição de credenciais.

Correção

Insertion into Log File

Enumeração de Fraquezas

CWE-532

Identificadores relacionados

CVE-2024-40636

GHSA-VMCP-66R5-3PCP

Produtos afetados

Steeltoe.Discovery.Eureka

Referências · 8

• https://github.com/SteeltoeOSS/Steeltoe/commit/c5d4a94e90ccb77f8e851bc681a2e348a95e7ecb · Nota
• https://t.me/cvenotify/86559 · Publicação no Telegram
• https://t.me/cvedetector/1115 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-40636 · Nota de Segurança
• https://github.com/SteeltoeOSS/security-advisories/security/advisories/GHSA-vmcp-66r5-3pcp · Nota
• https://github.com/SteeltoeOSS/security-advisories · Nota
• https://osv.dev/vulnerability/CVE-2024-40636 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-vmcp-66r5-3pcp · Aviso do Fabricante