CVE-2021-37759

Wyciek Session ID w logach DEBUG w Graylog — eskalacja uprawnień

CVSS 9.8v3.1pub. 2021-07-31upd. 2024-11-21

Podatność w Graylog przed wersją 4.1.2 powoduje ujawnienie identyfikatorów sesji (Session ID) w plikach logów DEBUG. Atakujący z dostępem do tych logów może przejąć sesję innego użytkownika i uzyskać jego poziom uprawnień.

▸ Pokaż oryginał (EN)

A Session ID leak in the DEBUG log file in Graylog before 4.1.2 allows attackers to escalate privileges (to the access level of the leaked session ID).

🤖 Analiza AI

Jak działa

Graylog zapisuje Session ID użytkowników w plikach logów debugowania (DEBUG log), co stanowi przypadek niezamierzonego ujawnienia wrażliwych danych w logach (CWE-532). Osoba, która uzyska dostęp do tych plików — np. inny użytkownik systemu, administrator o ograniczonych uprawnieniach lub atakujący, który zdobył dostęp do systemu plików — może odczytać cudzy Session ID. Przejęty identyfikator sesji pozwala na podszywanie się pod ofiarę bez znajomości jej hasła.

Skutki

Atakujący może eskalować swoje uprawnienia do poziomu użytkownika, którego Session ID wyciekł — w tym potencjalnie do uprawnień administratora Graylog. Może to skutkować pełnym przejęciem kontroli nad instancją Graylog oraz dostępem do przetwarzanych przez nią logów i danych.

Mitygacja

Należy zaktualizować Graylog do wersji 4.1.2 lub nowszej. Szczegóły patcha dostępne są w oficjalnym komunikacie producenta: https://www.graylog.org/post/announcing-graylog-v4-1-2. Dodatkowo zaleca się ograniczenie dostępu do plików logów DEBUG wyłącznie do zaufanych administratorów oraz rotację istniejących sesji po zastosowaniu aktualizacji.