CVE-2022-36130

HashiCorp Boundary — privilege escalation poprzez błędną weryfikację zakresów

CVSS 9.9v3.1pub. 2022-09-01upd. 2024-11-21

HashiCorp Boundary w wersjach do 0.10.1 niepoprawnie weryfikował integralność danych przy sprawdzaniu przynależności zasobów do zakresów (scopes), co umożliwiało autoryzowanym użytkownikom jednego zakresu uzyskanie nieautoryzowanego dostępu do zasobów innego zakresu. Podatność otrzymała ocenę CVSS 9.9, co klasyfikuje ją jako krytyczną.

▸ Pokaż oryginał (EN)

HashiCorp Boundary up to 0.10.1 did not properly perform data integrity checks to ensure the resources were associated with the correct scopes, allowing potential privilege escalation for authorized users of another scope. Fixed in Boundary 0.10.2.

🤖 Analiza AI

Jak działa

Mechanizm privilege escalation wynika z braku właściwych kontroli integralności danych (CWE-345) — aplikacja nie weryfikowała poprawnie, czy zasoby takie jak host sets i credential sources faktycznie należą do zakresu, z którym operuje żądający użytkownik. Autoryzowany użytkownik przypisany do jednego zakresu mógł w konsekwencji uzyskać dostęp do host sets i credential sources należących do innego zakresu, do którego nie powinien mieć uprawnień. Zasięg podatności obejmuje składowe confidentiality, integrity oraz availability na poziomie zmieniającego się kontekstu (Scope Changed), co potęguje jej krytyczność.

Skutki

Atakujący posiadający konto w dowolnym zakresie Boundary mógł uzyskać nieautoryzowany dostęp do zasobów (host sets, credential sources) innych zakresów, potencjalnie przejmując dane uwierzytelniające i możliwość łączenia się z hostami spoza przypisanego mu zakresu.

Mitygacja

Należy zaktualizować HashiCorp Boundary do wersji 0.10.2 lub nowszej, w której problem został naprawiony. Szczegóły dostępne w oficjalnym komunikacie producenta pod adresem: https://discuss.hashicorp.com/t/hcsec-2022017-boundary-allowed-access-to-host-sets-and-credential-sources-for-authorized-users-of-another-scope/43493

Kogo dotyczy

HashiCorp Boundary w wersjach do 0.10.1 włącznie.

Uwagi

Podatność dotyczy wyłącznie użytkowników już autoryzowanych w systemie Boundary — eksploitacja wymaga posiadania aktywnego konta w co najmniej jednym zakresie. Producent opublikował poprawkę 2022-09-01 wraz z komunikatem bezpieczeństwa HCSEC-2022-017.