CVE-2019-12405

Apache Traffic Control — pominięcie uwierzytelnienia LDAP w Traffic Ops API

CVSS 9.8v3.1pub. 2019-09-09upd. 2024-11-21

W Apache Traffic Control w wersjach 3.0.0 i 3.0.1 możliwe jest nieprawidłowe uwierzytelnienie w komponencie Traffic Ops API, jeśli włączone jest logowanie przez LDAP. Podatność pozwala atakującemu zalogować się jako dowolny użytkownik LDAP bez znajomości jego hasła, co stanowi krytyczne zagrożenie dla bezpieczeństwa systemu.

▸ Pokaż oryginał (EN)

Improper authentication is possible in Apache Traffic Control versions 3.0.0 and 3.0.1 if LDAP is enabled for login in the Traffic Ops API component. Given a username for a user that can be authenticated via LDAP, it is possible to improperly authenticate as that user without that user's correct password.

🤖 Analiza AI

Jak działa

Podatność (CWE-287 — Improper Authentication) polega na błędnym mechanizmie weryfikacji tożsamości w Traffic Ops API podczas korzystania z uwierzytelnienia LDAP. Atakujący, znając jedynie nazwę użytkownika (login) konta zarejestrowanego w katalogu LDAP, jest w stanie uwierzytelnić się jako ten użytkownik bez podania poprawnego hasła. Błąd dotyczy wyłącznie konfiguracji, w których włączona jest integracja z LDAP — domyślna konfiguracja bez LDAP nie jest bezpośrednio narażona.

Skutki

Atakujący może przejąć kontrolę nad dowolnym kontem użytkownika zintegrowanym z LDAP, uzyskując pełny dostęp do Traffic Ops API z uprawnieniami tego użytkownika — włącznie z możliwością odczytu, modyfikacji i usuwania danych konfiguracyjnych infrastruktury CDN.

Mitygacja

Należy zaktualizować Apache Traffic Control do wersji wyższej niż 3.0.1. Jako obejście tymczasowe można wyłączyć uwierzytelnienie LDAP w Traffic Ops API do czasu wdrożenia patcha. Szczegółowe informacje dostępne są w listach dyskusyjnych projektu oraz w artykule pomocniczym F5 (K84141859).

Kogo dotyczy

Apache Traffic Control w wersjach 3.0.0 oraz 3.0.1 z włączoną integracją LDAP w komponencie Traffic Ops API.

Uwagi

Podatność dotyczy wyłącznie instalacji z włączoną opcją logowania przez LDAP. Środowiska nieużywające integracji LDAP nie są narażone na ten wektor ataku.