PT-2024-29283 · Ops · Ops
Phvalguima
·
Publicado
2024-07-22
·
Atualizado
2024-07-24
·
CVE-2024-41129
CVSS v4.0
6.9
Média
| Vetor | AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Versões do ops anteriores à 2.15.0
Descrição
O problema decorre do fato de a biblioteca ops passar conteúdo confidencial como argumento por meio da interface de linha de comando (CLI). Isso pode afetar charms que utilizam o Juju (>=3.0) e segredos do Juju, especialmente se eles não capturarem e processarem corretamente o
subprocess.CalledProcessError. A vulnerabilidade pode levar à exposição de segredos, como chaves privadas e senhas, por meio de logs ou outros meios, permitindo potencialmente que um invasor obtenha acesso privilegiado.Recomendações
Para resolver o problema, atualize para a versão 2.15.0 ou posterior. Como solução temporária, considere implementar uma das estratégias de mitigação sugeridas, como ocultar argumentos secretos dos logs, usar arquivos temporários para segredos ou passar segredos por stdin, se for compatível com os comandos de segredos. Restrinja o acesso aos logs e garanta o tratamento adequado de
subprocess.CalledProcessError para minimizar o risco de exposição de segredos.Exploit
Correção
Insertion into Log File
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Ops