PT-2025-45013 · Lakefs · Lakefs
Publicado
2025-11-03
·
Atualizado
2025-11-17
·
CVE-2025-64179
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do lakeFS anteriores a 1.71.0
Descrição
O lakeFS é uma ferramenta que transforma armazenamento de objetos em repositórios semelhantes ao Git. As versões 1.69.0 e inferiores não possuem autenticação para o endpoint
/api/v1/usage-report/summary, permitindo acesso não autorizado às contagens agregadas de uso da API. Isso não divulga dados sensíveis, mas pode revelar informações sobre a atividade do serviço ou tempo de atividade. O endpoint vulnerável é /api/v1/usage-report/summary.Recomendações
Versões anteriores a 1.71.0 devem ser atualizadas para a versão 1.71.0 ou posterior.
Como solução alternativa, bloqueie a rota de requisição
/api/v1/usage-report/summary usando um balanceador de carga ou firewall de nível de aplicação.Exploit
Correção
Missing Authorization
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Lakefs