W systemie FlashArray Purity firmy Pure Storage istnieje lokalne konto przeznaczone do początkowej konfiguracji macierzy, które pozostaje aktywne po zakończeniu konfiguracji. Stanowi to krytyczne zagrożenie, ponieważ potencjalny atakujący może wykorzystać to konto do uzyskania podwyższonych uprawnień.
▸ Pokaż oryginał (EN)
A condition exists in FlashArray Purity whereby a local account intended for initial array configuration remains active potentially allowing a malicious actor to gain elevated privileges.
Konto lokalne, zaprojektowane wyłącznie na potrzeby wstępnej konfiguracji macierzy (ang. initial array configuration), nie jest dezaktywowane po zakończeniu tego procesu. Pozostaje ono aktywne w systemie, co stanowi niezamierzony wektor dostępu. Atakujący, który uzyska dostęp do tego konta, może wykorzystać je do eskalacji uprawnień (privilege escalation) w systemie.
Atakujący może uzyskać podwyższone uprawnienia w systemie FlashArray Purity, co może prowadzić do pełnego przejęcia kontroli nad macierzą storage, a w konsekwencji do naruszenia poufności, integralności i dostępności przechowywanych danych.
Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://purestorage.com/security). Zaleca się również weryfikację stanu kont lokalnych na macierzach FlashArray i dezaktywację nieużywanych kont konfiguracyjnych.
Produkty Pure Storage Purity//FA (FlashArray) — wersje wskazane w referencjach producenta
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HPurestorage Purity\/\/fa
APPPurestorage6.3.0 – 6.3.146.4.0 – 6.4.10
Powiązane podatności
Obejście uwierzytelnienia w Pure Storage FlashArray Purity (CVSS 10.0)
Command injection w Pure Storage Purity poprzez konfigurację SNMP
Zdalne wykonanie kodu z eskalacją uprawnień w Pure Storage FlashArray Purity
Pure Storage FlashArray Purity — nieautoryzowane tworzenie konta z uprawnieniami
Pure Storage FlashArray products running Purity//FA 6.2.0 - 6.2.3, 6.1.0 - 6.1.12, 6.0.0 - 6.0.8, 5.3.0 - 5.3....