PT-2024-32397 · Unknown · Power Platform Terraform Provider

Mattdot

·

Publicado

2024-09-25

·

Atualizado

2024-10-03

·

CVE-2024-47083

CVSS v4.0

8.8

Alta

VetorAV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Nome do software vulnerável e versões afetadas
Versões do Power Platform Terraform Provider anteriores à 3.0.0
Descrição
O Power Platform Terraform Provider apresenta uma falha em que informações confidenciais, especificamente o client secret usado na autenticação da entidade de serviço, podem ser expostas nos logs devido a um erro no código de registro. Essa exposição ocorre quando os logs são armazenados ou visualizados, fazendo com que o client secret não seja mascarado adequadamente. Os usuários devem atualizar para a versão 3.0.0 para receber uma versão corrigida do provedor que remove todo o registro de conteúdo confidencial. Para mitigar o risco, os usuários que utilizaram este provedor com as versões afetadas devem imediatamente atualizar o client secret para qualquer entidade de serviço que tenha sido configurada usando este provedor Terraform.
Recomendações
Atualize para a versão 3.0.0 para receber uma versão corrigida do provedor.
Atualize imediatamente o client secret para qualquer entidade de serviço que tenha sido configurada usando este provedor Terraform.
Considere desativar a variável de ambiente TF LOG PATH ou a persistência de logs do Terraform em um arquivo ou sistema externo até que uma versão corrigida do provedor seja atualizada.
Remova ou limpe os logs existentes que possam conter o client secret para impedir o acesso não autorizado.

Exploit

Correção

Insertion into Log File

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2024-47083
GHSA-7W3W-PJM5-M36C

Produtos afetados

Power Platform Terraform Provider