CVE-2021-37760

Wyciek Session ID w logu audytu Graylog — privilege escalation

CVSS 9.8v3.1pub. 2021-07-31upd. 2024-11-21

W Graylog przed wersją 4.1.2 identyfikatory sesji (Session ID) były zapisywane w logu audytu w sposób jawny (CWE-532: Insertion of Sensitive Information into Log File). Atakujący z dostępem do logów może przejąć sesję innego użytkownika i uzyskać jego poziom uprawnień.

▸ Pokaż oryginał (EN)

A Session ID leak in the audit log in Graylog before 4.1.2 allows attackers to escalate privileges (to the access level of the leaked session ID).

🤖 Analiza AI

Jak działa

Graylog zapisywał tokeny sesji do logu audytu bez ich maskowania lub pomijania. Osoba, która uzyska dostęp do tych logów — np. inny zalogowany użytkownik o niższych uprawnieniach lub atakujący, który zdołał odczytać pliki logów — może wyodrębnić cudzy Session ID. Posiadając taki token, może podszyć się pod właściciela sesji i działać z jego poziomem dostępu, co stanowi privilege escalation.

Skutki

Atakujący może przejąć aktywną sesję innego użytkownika (w tym administratora) i uzyskać pełny dostęp do zasobów Graylog na poziomie uprawnień tej sesji, łącznie z pełną kontrolą nad instancją w przypadku sesji administratora.

Mitygacja

Należy zaktualizować Graylog do wersji 4.1.2 lub nowszej zgodnie z informacją producenta dostępną pod adresem https://www.graylog.org/post/announcing-graylog-v4-1-2

Kogo dotyczy

Graylog we wszystkich wersjach przed 4.1.2

Uwagi

Pomimo oceny CVSS 9.8 (Critical), skuteczne wykorzystanie podatności wymaga wcześniejszego uzyskania dostępu do logów audytu Graylog, co w pewnym stopniu ogranicza realny zasięg ataku z sieci zewnętrznej.