CVE-2019-3888

Undertow: ujawnienie danych uwierzytelniających w plikach logów

CVSS 9.8v3.1pub. 2019-06-12upd. 2024-11-21

W serwerze Undertow przed wersją 2.0.21 wykryto podatność powodującą zapisywanie danych uwierzytelniających w postaci jawnego tekstu w plikach logów. Stanowi to poważne zagrożenie dla poufności danych, ponieważ osoby mające dostęp do logów mogą uzyskać dane logowania użytkowników.

▸ Pokaż oryginał (EN)

A vulnerability was found in Undertow web server before 2.0.21. An information exposure of plain text credentials through log files because Connectors.executeRootHandler:402 logs the HttpServerExchange object at ERROR level using UndertowLogger.REQUEST_LOGGER.undertowRequestFailed(t, exchange)

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowego poziomu logowania w metodzie Connectors.executeRootHandler (linia 402), która przy wystąpieniu błędu rejestruje pełny obiekt HttpServerExchange na poziomie ERROR za pomocą wywołania UndertowLogger.REQUEST_LOGGER.undertowRequestFailed(t, exchange). Obiekt HttpServerExchange zawiera szczegóły żądania HTTP, w tym dane uwierzytelniające przesyłane w postaci niezaszyfrowanej (plain text). W efekcie hasła oraz inne poświadczenia mogą trafiać bezpośrednio do plików logów aplikacji.

Skutki

Atakujący lub nieuprawniona osoba mająca dostęp do plików logów może odczytać dane uwierzytelniające użytkowników w postaci jawnego tekstu, co umożliwia przejęcie kont i dalszy lateral movement w infrastrukturze.

Mitygacja

Należy zaktualizować Undertow do wersji 2.0.21 lub nowszej. Dla produktów Red Hat należy zastosować patche dostępne w erratach: RHSA-2019:2439, RHSA-2019:2998 oraz RHSA-2020:0727 zgodnie z referencjami producenta.

Kogo dotyczy

Red Hat Undertow przed wersją 2.0.21, a także produkty oparte na tej bibliotece: Red Hat Virtualization, Red Hat Virtualization Host, Red Hat Enterprise Linux oraz Red Hat JBoss Data Grid (konkretne wersje wskazane w referencjach producenta).