PT-2024-31406 · Unknown · Hwameistor

Younaman · Publicado 2024-08-28 · Atualizado 2024-09-12 · CVE-2024-45054

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.7

Média

Vetor base

AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Hwameistor anteriores à 0.14.6

Descrição

O Hwameistor é um sistema de armazenamento local de alta disponibilidade para cargas de trabalho stateful nativas da nuvem. Este ClusterRole possui permissões excessivas, permitindo que um usuário mal-intencionado que tenha acesso ao nó de trabalho com a implantação do Hwameistor abuse dessas permissões e execute quaisquer ações em todo o cluster, resultando em uma escalada de privilégios no nível do cluster.

Recomendações

Para versões anteriores à 0.14.6, atualize para a versão 0.14.6 ou posterior.

Para usuários que não possam atualizar, atualize e limite o ClusterRole usando security-role como uma solução alternativa temporária.

Exploit

Correção

Incorrect Privilege Assignment

Information Disclosure

Enumeração de Fraquezas

CWE-266

CWE-200

Identificadores relacionados

CVE-2024-45054

GHSA-MGWR-H7MV-FH29

GO-2024-3103

Produtos afetados

Hwameistor

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/45xxx/CVE-2024-45054.json · Exploit
• https://github.com/hwameistor/hwameistor · Nota
• https://github.com/hwameistor/hwameistor/commit/edf4cebed73cadd230bf97eab65c5311f2858450 · Correção
• https://github.com/hwameistor/hwameistor/blob/main/helm/hwameistor/templates/clusterrole.yaml · Nota
• https://github.com/hwameistor/hwameistor/issues/1457 · Nota
• https://github.com/hwameistor/hwameistor/security/advisories/GHSA-mgwr-h7mv-fh29 · Aviso do Fabricante
• https://github.com/hwameistor/hwameistor/issues/1460 · Nota
• https://osv.dev/vulnerability/CVE-2024-45054 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1828889463054819362 · Publicação no Twitter
• https://t.me/cvedetector/4350 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-mgwr-h7mv-fh29 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1828929908648640914 · Publicação no Twitter
• https://osv.dev/vulnerability/GO-2024-3103 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-45054 · Nota de Segurança