CVE-2022-32554

Hasło dostępu do interfejsu zarządzania urządzenia może być znane poza organizacją Pure Storage, co oznacza potencjalne skompromitowanie poufności danych uwierzytelniających. Jeśli interfejs zarządzania jest dostępny sieciowo, atakujący posiadający wiedzę o tym haśle może zalogować się do systemu bez dodatkowej autoryzacji. Po uzyskaniu dostępu możliwe jest wykonanie dowolnych instrukcji z najwyższymi uprawnieniami (root) na urządzeniu.

Atakujący może uzyskać pełną kontrolę administracyjną nad urządzeniem storage, w tym wykonywać dowolne polecenia z uprawnieniami root, co zagraża poufności, integralności i dostępności przechowywanych danych.

Pure Storage udostępnia trzy ścieżki naprawcze: samodzielne zastosowanie patcha w trybie 'opt-in' poprzez portal producenta, ręczna aplikacja patcha lub aktualizacja oprogramowania Purity do wersji nieobarczonej podatnością. Należy zastosować patche zgodnie z referencjami opublikowanymi przez Pure Storage (Security Bundle 2022-04-04). Zaleca się również ograniczenie dostępu sieciowego do interfejsu zarządzania wyłącznie do zaufanych hostów.

Pure Storage FlashArray z oprogramowaniem Purity//FA w wersjach: 6.2.0–6.2.3, 6.1.0–6.1.12, 6.0.0–6.0.8, 5.3.0–5.3.17, 5.2.x oraz wcześniejszych; Pure Storage FlashBlade z oprogramowaniem Purity//FB w wersjach: 3.3.0, 3.2.0–3.2.4, 3.1.0–3.1.12, 3.0.x oraz wcześniejszych.

Podatność dotyczy wyłącznie produktów FlashArray i FlashBlade — producent potwierdził, że żadne inne produkty ani usługi Pure Storage nie są nią objęte. Remedjacja została udostępniona w ramach Security Bundle z datą 2022-04-04.