CVE-2022-31733

W wersjach od diego-release 2.55.0 do 2.69.0 oraz CF Deployment od 17.1 do 23.2.0 aplikacje są dostępne przez dodatkowy, niezabezpieczony port na węzłach diego (diego cells). Gdy jednocześnie włączona jest opcja integralności tras mTLS oraz wyłączone są porty bez proxy, atakujący może połączyć się z aplikacją przez ten niezabezpieczony port z pominięciem wymogu certyfikatu klienta. Luka wynika z nieprawidłowej walidacji certyfikatów (CWE-295) — aplikacja powinna być dostępna wyłącznie poprzez mTLS, lecz alternatywny port pozwala ominąć tę kontrolę.

Atakujący może uzyskać nieautoryzowany dostęp do aplikacji przeznaczonych wyłącznie dla uwierzytelnionych klientów mTLS, co prowadzi do naruszenia poufności i integralności danych przetwarzanych przez te aplikacje.

Należy zaktualizować diego-release do wersji powyżej 2.69.0 oraz CF Deployment do wersji powyżej 23.2.0. Szczegółowe informacje i patche dostępne są w referencjach producenta pod adresem https://www.cloudfoundry.org/blog/cve-2022-31733-unsecured-application-port

Cloudfoundry diego-release w wersjach od 2.55.0 do 2.69.0 oraz Cloudfoundry CF Deployment w wersjach od 17.1 do 23.2.0; podatność jest aktywna wyłącznie gdy włączona jest integracja tras mTLS oraz wyłączone są porty bez proxy

Podatność jest aktywna wyłącznie przy określonej konfiguracji: mTLS route integrity musi być włączone, a unproxied ports wyłączone. Środowiska niespełniające obu tych warunków jednocześnie nie są narażone na to zagrożenie.