CVE-2022-28357

Path traversal w NATS nats-server umożliwiający nieautoryzowane działania zarządzania

CVSS 9.8v3.1pub. 2023-09-19upd. 2024-11-21

Podatność typu path traversal w NATS nats-server (wersje 2.2.0–2.7.4) pozwala na dostęp do akcji zarządzania serwerem poprzez niezamierzoną ścieżkę z konta administracyjnego. Błąd uzyskał ocenę CVSS 9.8 (CRITICAL), co wskazuje na poważne ryzyko dla dostępności, integralności i poufności danych.

▸ Pokaż oryginał (EN)

NATS nats-server 2.2.0 through 2.7.4 allows directory traversal because of an unintended path to a management action from a management account.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej walidacji ścieżek w interfejsie zarządzania serwera NATS. Atakujący posiadający dostęp do konta zarządzania może skonstruować specjalnie spreparowane żądanie zawierające sekwencje path traversal (np. '../'), które prowadzi do niezamierzonej akcji zarządzania. W ten sposób możliwe jest ominięcie zamierzonej kontroli dostępu do poszczególnych operacji administracyjnych.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do wrażliwych danych (naruszenie poufności), modyfikować konfigurację lub dane serwera (naruszenie integralności) oraz potencjalnie zakłócić jego działanie (naruszenie dostępności).

Mitygacja

Należy zaktualizować NATS nats-server do wersji wyższej niż 2.7.4. Szczegółowe informacje o dostępnych patchach znajdują się w oficjalnym komunikacie bezpieczeństwa producenta (https://advisories.nats.io/CVE/CVE-2022-28357.txt) oraz w repozytorium wydań projektu (https://github.com/nats-io/nats-server/releases).