CVE-2022-0664

Aplikacja Netmaker używała klucza kryptograficznego zakodowanego bezpośrednio w kodzie źródłowym, zamiast generować go dynamicznie lub pobierać z bezpiecznej konfiguracji. Ponieważ klucz jest taki sam we wszystkich instancjach oprogramowania, atakujący znający lub odczytujący klucz z publicznego repozytorium może go wykorzystać do podpisywania, weryfikowania lub odszyfrowania danych uwierzytelniających i komunikacji chronionej tym kluczem. W efekcie mechanizm kryptograficzny chroniący system przestaje spełniać swoją funkcję.

Atakujący może uzyskać pełen dostęp do poufnych danych, zmodyfikować konfigurację sieci lub przejąć kontrolę nad węzłami zarządzanymi przez Netmaker, co odpowiada maksymalnemu wpływowi na poufność, integralność i dostępność systemu.

Należy zaktualizować Netmaker do wersji 0.8.5, 0.9.4, 0.10.0 lub 0.10.1 (w zależności od używanej gałęzi). Poprawka dostępna jest w commicie 9bee12642986cb9534e268447b70e6f0f03c59cf w repozytorium GitHub. Po aktualizacji zaleca się regenerację wszelkich tokenów i sekretów wygenerowanych przez podatne wersje, ponieważ klucz kryptograficzny był kompromitowany we wszystkich wcześniejszych instalacjach.

Netmaker (github.com/gravitl/netmaker) we wszystkich wersjach wcześniejszych niż 0.8.5, 0.9.4, 0.10.0 oraz 0.10.1

Podatność zgłoszona i opublikowana za pośrednictwem platformy huntr.dev (bounty 29898a42-fd4f-4b5b-a8e3-ab573cb87eac).