CVE-2022-43757

SUSE Rancher: przechowywanie poświadczeń w postaci jawnego tekstu

CVSS 9.9v3.1pub. 2023-02-07upd. 2024-11-21

SUSE Rancher przechowuje wrażliwe informacje (poświadczenia) w postaci niezaszyfrowanej (cleartext), co umożliwia użytkownikom zarządzanych klastrów uzyskanie do nich nieautoryzowanego dostępu. Podatność oceniono jako krytyczną ze względu na potencjalnie szeroki zakres narażonych danych uwierzytelniających.

▸ Pokaż oryginał (EN)

A Cleartext Storage of Sensitive Information vulnerability in SUSE Rancher allows users on managed clusters to gain access to credentials. The impact depends on the credentials exposed This issue affects: SUSE Rancher Rancher versions prior to 2.5.17; Rancher versions prior to 2.6.10; Rancher versions prior to 2.7.1.

🤖 Analiza AI

Jak działa

Mechanizm podatności (CWE-312) polega na tym, że SUSE Rancher zapisuje wrażliwe informacje — takie jak poświadczenia — w sposób jawny, bez odpowiedniego szyfrowania lub maskowania. Użytkownik posiadający dostęp do zarządzanego klastra może odczytać te dane bezpośrednio. Skutek zależy od rodzaju i uprawnień narażonych poświadczeń, co może obejmować dostęp do innych systemów lub usług w infrastrukturze.

Skutki

Atakujący z dostępem do zarządzanego klastra może uzyskać dostęp do przechowywanych poświadczeń, co może prowadzić do przejęcia kontroli nad powiązanymi systemami, eskalacji uprawnień lub lateral movement w infrastrukturze.

Mitygacja

Należy zaktualizować SUSE Rancher do wersji 2.5.17 lub nowszej (dla gałęzi 2.5.x), 2.6.10 lub nowszej (dla gałęzi 2.6.x) albo 2.7.1 lub nowszej (dla gałęzi 2.7.x). Szczegółowe informacje dostępne w referencjach producenta pod adresem bugzilla.suse.com (bug #1205295).