CVE-2021-21502

Dell PowerScale OneFS — pominięcie wygaśnięcia konta przez klucz SSH

CVSS 9.8v3.1pub. 2021-02-09upd. 2024-11-21

Dell PowerScale OneFS w wersjach 8.1.0–9.1.0 zawiera podatność polegającą na możliwości użycia klucza SSH po wygaśnięciu konta użytkownika. Może to skutkować nieautoryzowanym dostępem do systemu przez konto, które powinno być już nieaktywne.

▸ Pokaż oryginał (EN)

Dell PowerScale OneFS versions 8.1.0 – 9.1.0 contain a "use of SSH key past account expiration" vulnerability. A user on the network with the ISI_PRIV_AUTH_SSH RBAC privilege that has an expired account may potentially exploit this vulnerability, giving them access to the same things they had before account expiration. This may by a high privileged account and hence Dell recommends customers upgrade at the earliest opportunity.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej obsługi wygaśnięcia konta w kontekście uwierzytelniania przez klucz SSH. Użytkownik posiadający uprawnienie RBAC ISI_PRIV_AUTH_SSH może nadal logować się za pomocą swojego klucza SSH, nawet jeśli jego konto formalnie wygasło. Mechanizm weryfikacji wygaśnięcia konta nie jest egzekwowany przy uwierzytelnianiu opartym na kluczach SSH, co obchodzi standardową politykę zarządzania cyklem życia kont.

Skutki

Atakujący z wygasłym, lecz uprzednio uprzywilejowanym kontem może uzyskać dostęp do zasobów i uprawnień identycznych jak przed wygaśnięciem konta, potencjalnie obejmujących wysoki poziom dostępu administracyjnego.

Mitygacja

Należy jak najszybciej zaktualizować oprogramowanie Dell PowerScale OneFS zgodnie z zaleceniami producenta opisanymi w poradniku DSA-2021-009 dostępnym pod adresem: https://www.dell.com/support/kbdoc/en-us/000182873/dsa-2021-009-dell-powerscale-onefs-security-update-for-multiple-vulnerabilities. Dell zaleca przeprowadzenie aktualizacji w najwcześniejszym możliwym terminie.

Kogo dotyczy

Dell PowerScale OneFS w wersjach 8.1.0 do 9.1.0

Uwagi

Podatność sklasyfikowana jako Auth Bypass (CWE-287). Pomimo wektora sieciowego bez wymaganych uprawnień (CVSS AV:N/AC:L/PR:N/UI:N), faktyczne wykorzystanie wymaga posiadania wcześniej wydanego klucza SSH oraz uprawnienia RBAC ISI_PRIV_AUTH_SSH na wygasłym koncie, co ogranicza realną powierzchnię ataku do byłych użytkowników systemu.