Pomerium, proxy kontroli dostępu opartego na tożsamości i kontekście, podatne jest na nieprawidłowe decyzje autoryzacyjne przy użyciu specjalnie spreparowanych żądań. Podatność otrzymała maksymalny wynik CVSS 10.0, co oznacza możliwość całkowitego obejścia mechanizmów kontroli dostępu bez uwierzytelnienia.
▸ Pokaż oryginał (EN)
Pomerium is an identity and context-aware access proxy. With specially crafted requests, incorrect authorization decisions may be made by Pomerium. This issue has been patched in versions 0.17.4, 0.18.1, 0.19.2, 0.20.1, 0.21.4 and 0.22.2.
Atakujący może wysłać specjalnie spreparowane żądania HTTP do instancji Pomerium, które powodują nieprawidłowe podjęcie decyzji autoryzacyjnych przez proxy. W efekcie żądania, które powinny zostać odrzucone, mogą zostać przepuszczone do chronionych zasobów zaplecza. Błąd klasyfikowany jest jako nieprawidłowa autoryzacja (CWE-285), co wskazuje na wadę w logice weryfikacji uprawnień dostępu.
Nieuwierzytelniony zdalny atakujący może uzyskać nieautoryzowany dostęp do zasobów chronionych przez Pomerium, w tym do poufnych danych i systemów zaplecza, a także dokonywać w nich nieautoryzowanych modyfikacji.
Należy niezwłocznie zaktualizować Pomerium do wersji z poprawką: 0.17.4, 0.18.1, 0.19.2, 0.20.1, 0.21.4 lub 0.22.2 — odpowiednio do używanej gałęzi. Patche dostępne są w repozytoriach GitHub projektu Pomerium.
Pomerium we wszystkich wersjach poprzedzających: 0.17.4, 0.18.1, 0.19.2, 0.20.1, 0.21.4 oraz 0.22.2.
Podatność dotyczy wielu równolegle utrzymywanych gałęzi wersji Pomerium — administratorzy powinni upewnić się, że stosują poprawkę właściwą dla swojej gałęzi produktu.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:NPomerium
APPPomerium0.18.00.20.0< 0.17.40.19.0 – 0.19.2 (bez)0.21.0 – 0.21.4 (bez)0.22.0 – 0.22.2 (bez)
Powiązane podatności
Pomerium is an open source identity-aware access proxy. Envoy, which Pomerium is based on, incorrectly handles...
Pomerium is an open source identity-aware access proxy. Envoy, which Pomerium is based on, contains two author...
Pomerium is an open source identity-aware access proxy. Envoy, which Pomerium is based on, can abnormally term...
Pomerium is an identity and context-aware access proxy. Prior to version 0.26.1, the Pomerium user info page (...
Pomerium is an identity-aware access proxy. In distributed service mode, Pomerium's Authenticate service expos...