PT-2024-32397 · Unknown · Power Platform Terraform Provider
Mattdot
·
Publicado
2024-09-25
·
Atualizado
2024-10-03
·
CVE-2024-47083
CVSS v4.0
8.8
Alta
| Vetor | AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
Nome do software vulnerável e versões afetadas
Versões do Power Platform Terraform Provider anteriores à 3.0.0
Descrição
O Power Platform Terraform Provider apresenta uma falha em que informações confidenciais, especificamente o
client secret usado na autenticação da entidade de serviço, podem ser expostas nos logs devido a um erro no código de registro. Essa exposição ocorre quando os logs são armazenados ou visualizados, fazendo com que o client secret não seja mascarado adequadamente. Os usuários devem atualizar para a versão 3.0.0 para receber uma versão corrigida do provedor que remove todo o registro de conteúdo confidencial. Para mitigar o risco, os usuários que utilizaram este provedor com as versões afetadas devem imediatamente atualizar o client secret para qualquer entidade de serviço que tenha sido configurada usando este provedor Terraform.Recomendações
Atualize para a versão 3.0.0 para receber uma versão corrigida do provedor.
Atualize imediatamente o
client secret para qualquer entidade de serviço que tenha sido configurada usando este provedor Terraform.Considere desativar a variável de ambiente
TF LOG PATH ou a persistência de logs do Terraform em um arquivo ou sistema externo até que uma versão corrigida do provedor seja atualizada.Remova ou limpe os logs existentes que possam conter o
client secret para impedir o acesso não autorizado.Exploit
Correção
Insertion into Log File
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Power Platform Terraform Provider