PT-2024-31579 · Eclipse · Eclipse Dataspace Components
Sovity Gmbh
·
Publicado
2024-05-07
·
Atualizado
2024-05-07
·
CVE-2024-4536
CVSS v3.1
6.8
Média
| Vetor | AV:A/AC:H/PR:H/UI:N/S:C/C:H/I:L/A:L |
Nome do software vulnerável e versões afetadas
Eclipse Dataspace Components, versões 0.2.1 a 0.6.2
Descrição
Foi identificada uma falha de segurança no componente EDC Connector do Eclipse Dataspace Components, relacionada ao recurso de coletor de dados protegido por OAuth2. Ao usar um coletor de dados protegido por OAuth2 personalizado, as propriedades de endereço de dados específicas do OAuth2 são resolvidas pelo plano de dados do provedor. A
clientSecretKey, que indica o segredo do cliente OAuth2 a ser recuperado de um cofre de segredos, é resolvida no contexto do cofre do provedor, e não do consumidor. Isso permite que um invasor possa obter segredos do cliente OAuth2 do cofre. O recurso está agora totalmente desativado devido à implementação incompleta dos caminhos de código necessários.Recomendações
Para as versões 0.2.1 a 0.6.2 do Eclipse Dataspace Components, considere desativar totalmente o recurso de coletor de dados protegido por OAuth2, uma vez que ele foi desativado na implementação mais recente devido a preocupações de segurança. Restrinja o acesso ao componente EDC Connector para minimizar o risco de exploração. Evite usar o
clientSecretKey no componente afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.Insufficiently Protected Credentials
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Eclipse Dataspace Components