CVE-2024-7923

Authentication bypass w Pulpcore/Red Hat Satellite przez nagłówek HTTP

CVSS 9.8v3.1pub. 2024-09-04upd. 2024-11-24

Krytyczna podatność typu authentication bypass w Pulpcore, wdrożonym razem z Gunicorn w wersji poniżej 22.0, pozwala nieuwierzytelnionemu atakującemu na uzyskanie dostępu administracyjnego. Dotyczy wszystkich aktywnych wdrożeń Red Hat Satellite 6.13, 6.14 i 6.15 korzystających z Pulpcore 3.0+.

▸ Pokaż oryginał (EN)

An authentication bypass vulnerability has been identified in Pulpcore when deployed with Gunicorn versions prior to 22.0, due to the puppet-pulpcore configuration. This issue arises from Apache's mod_proxy not properly unsetting headers because of restrictions on underscores in HTTP headers, allowing authentication through a malformed header. This flaw impacts all active Satellite deployments (6.13, 6.14 and 6.15) which are using Pulpcore version 3.0+ and could potentially enable unauthorized users to gain administrative access.

🤖 Analiza AI

Jak działa

Problem wynika z nieprawidłowej konfiguracji mod_proxy w Apache, który nie usuwa odpowiednio nagłówków HTTP zawierających znaki podkreślenia. Konfiguracja puppet-pulpcore w połączeniu z Gunicorn poniżej wersji 22.0 powoduje, że atakujący może przesłać specjalnie spreparowany (malformed) nagłówek HTTP, który zostaje przepuszczony przez warstwę proxy bez oczyszczenia. Mechanizm uwierzytelniania Pulpcore błędnie interpretuje taki nagłówek jako potwierdzenie tożsamości, umożliwiając ominięcie procesu weryfikacji (CWE-287).

Skutki

Nieuwierzytelniony zdalny atakujący może uzyskać pełny dostęp administracyjny do systemu Red Hat Satellite, co prowadzi do całkowitej utraty poufności, integralności i dostępności zarządzanej infrastruktury.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: RHSA-2024:6335 (Satellite 6.15), RHSA-2024:6336 (Satellite 6.14), RHSA-2024:6337 (Satellite 6.13) oraz RHSA-2024:8906. Kluczowe jest zaktualizowanie Gunicorn do wersji 22.0 lub nowszej w ramach aktualizacji Satellite.

Kogo dotyczy

Red Hat Satellite 6.13, 6.14 i 6.15 z Pulpcore w wersji 3.0 lub nowszej, wdrożone z Gunicorn w wersji poniżej 22.0

Uwagi

Podatność dotyczy specyficznej kombinacji komponentów: Apache mod_proxy + Gunicorn < 22.0 + konfiguracja puppet-pulpcore. Środowiska Satellite niewykorzystujące tej konfiguracji mogą nie być podatne — zalecana weryfikacja wdrożenia przed priorytetyzacją patchowania.