CVE-2022-4116

RCE w Quarkus Dev UI Config Editor poprzez drive-by localhost attack

CVSS 9.8v3.1pub. 2022-11-22upd. 2025-04-29

Podatność w edytorze konfiguracji Dev UI frameworka Quarkus umożliwia przeprowadzenie ataku typu drive-by localhost, prowadzącego do zdalnego wykonania kodu (RCE). Wysoki wynik CVSS 9.8 wskazuje na krytyczne zagrożenie, szczególnie dla środowisk deweloperskich.

▸ Pokaż oryginał (EN)

A vulnerability was found in quarkus. This security flaw happens in Dev UI Config Editor which is vulnerable to drive-by localhost attacks leading to remote code execution.

🤖 Analiza AI

Jak działa

Atak typu drive-by localhost polega na tym, że złośliwa strona internetowa odwiedzana przez dewelopera w przeglądarce wysyła żądania do lokalnie działającego interfejsu Dev UI Quarkusa (dostępnego na localhost). Komponent Dev UI Config Editor nie zabezpiecza w wystarczający sposób tych żądań przed nieautoryzowanym dostępem z poziomu przeglądarki. W wyniku tego atakujący może zdalnie wpłynąć na konfigurację aplikacji i doprowadzić do wykonania dowolnego kodu na maszynie dewelopera.

Skutki

Atakujący może uzyskać pełną kontrolę nad środowiskiem deweloperskim, w tym możliwość odczytu i modyfikacji danych oraz wykonania dowolnego kodu (RCE) na hoście, gdzie działa aplikacja Quarkus w trybie deweloperskim.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://access.redhat.com/security/cve/CVE-2022-4116). Dodatkowo zaleca się nieudostępnianie interfejsu Dev UI w środowiskach produkcyjnych oraz ograniczenie dostępu do portu deweloperskiego wyłącznie do zaufanych sieci lokalnych.

Kogo dotyczy

Red Hat Build of Quarkus oraz Quarkus Quarkus — wersje wskazane w referencjach producenta

Uwagi

Podatność dotyczy wyłącznie trybu deweloperskiego (Dev UI) Quarkusa — interfejs ten nie powinien być dostępny w środowiskach produkcyjnych, co ogranicza powierzchnię ataku do stacji roboczych deweloperów.