PT-2025-5699 · Marblerun · Marblerun
Publicado
2025-02-04
·
Atualizado
2025-02-04
CVSS v3.1
7.1
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas:
Versões do MarbleRun anteriores à 1.7.0
Descrição:
A falha permite que um atacante forje um estado selado usando suas próprias chaves de recuperação e um manifesto que não corresponde ao restante do estado. Isso pode resultar em personificação se o tráfego de rede for redirecionado do coordenador legítimo para o coordenador do atacante, e a parte remota não comparar o certificado raiz do coordenador com uma referência confiável. O atacante pode enganar uma parte remota para confiar no coordenador malicioso, apresentando um manifesto que não corresponde ao estado real da implantação. Este problema não afeta os segredos e o estado das instâncias legítimas do Coordenador, a integridade das cargas de trabalho ou os certificados cuja cadeia remonta ao certificado raiz legítimo do Coordenador.
Recomendações:
Para versões anteriores à 1.7.0, atualize para a versão 1.7.0 para resolver o problema. Como solução temporária, considere autenticar conexões com base no certificado raiz de um Coordenador conhecido, como aquele recuperado ao usar o comando CLI
marblerun manifest set, para minimizar o risco de exploração. Restrinja o acesso a coordenadores não confiáveis para prevenir ataques de personificação.Correção
Improper Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Marblerun