CVE-2022-0670

Nieprawidłowa autoryzacja w Ceph Manager — nieuprawniony dostęp do udziałów OpenStack Manila

CVSS 9.1v3.1pub. 2022-07-25upd. 2024-11-21

Błąd w pluginie 'volumes' w Ceph Manager pozwala właścicielowi udziału Ceph File System w OpenStack Manila na odczyt i zapis dowolnego udziału lub całego systemu plików. Podatność jest oceniana jako krytyczna (CVSS 9.1) ze względu na możliwość naruszenia poufności i integralności danych bez konieczności uwierzytelnienia atakującego.

▸ Pokaż oryginał (EN)

A flaw was found in Openstack manilla owning a Ceph File system "share", which enables the owner to read/write any manilla share or entire file system. The vulnerability is due to a bug in the "volumes" plugin in Ceph Manager. This allows an attacker to compromise Confidentiality and Integrity of a file system. Fixed in RHCS 5.2 and Ceph 17.2.2.

🤖 Analiza AI

Jak działa

Podatność wynika z błędu autoryzacji (CWE-863) w pluginie 'volumes' wbudowanym w Ceph Manager. Posiadacz udziału Ceph File System udostępnionego przez OpenStack Manila uzyskuje uprawnienia wykraczające poza przydzielony mu zasób — może odczytywać i modyfikować dane należące do innych udziałów lub do całego systemu plików. Błąd nie wymaga żadnych specjalnych warunków sieciowych ani interakcji ze strony ofiary, co czyni go łatwym do wykorzystania zdalnie.

Skutki

Atakujący może uzyskać nieautoryzowany odczyt i zapis danych innych najemców (tenants) lub całego systemu plików Ceph, co prowadzi do poważnego naruszenia poufności i integralności przechowywanych danych.

Mitygacja

Należy zaktualizować Ceph do wersji 17.2.2 (Quincy) lub nowszej oraz Red Hat Ceph Storage do wersji 5.2 lub nowszej. Użytkownicy Fedora powinni zastosować aktualizacje opublikowane na listach dystrybucyjnych Fedora. Szczegóły dostępne w referencjach producenta.

Kogo dotyczy

Linux Foundation Ceph w wersjach przed 17.2.2, Red Hat Ceph Storage (RHCS) w wersjach przed 5.2, a także pakiety Ceph dostępne w Fedora Project Fedora. Podatność dotyczy środowisk wykorzystujących OpenStack Manila z backendem Ceph File System.

Uwagi

Poprawka dostępna w RHCS 5.2 oraz Ceph 17.2.2 — informacja wprost z opisu oryginalnego.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Fedora Project Fedora
OS
Fedoraproject
3536
Linuxfoundation Ceph
APP
Linuxfoundation
15.0.0 – 15.2.17 (bez)16.0.0 – 16.2.10 (bez)17.0.0 – 17.2.2 (bez)
Red Hat Ceph Storage
APP
Redhat
< 5.2