CVE-2017-7540
KrytyczneStreszczenie
Rubygem-safemode, używany w Foreman w wersjach 1.3.2 i wcześniejszych, jest podatny na obejście ograniczeń trybu bezpiecznego za pomocą specjalnej składni Ruby. Może to prowadzić do usunięcia obiektów, do których użytkownik nie ma uprawnień do usunięcia, lub potencjalnie do eskalacji uprawnień.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane usunięcie danych lub eskalację uprawnień, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację rubygem-safemode do wersji, która nie jest podatna na tę lukę, aby zminimalizować ryzyko.
Oryginalny opis (angielski, źródło NVD)
rubygem-safemode, as used in Foreman, versions 1.3.2 and earlier are vulnerable to bypassing safe mode limitations via special Ruby syntax. This can lead to deletion of objects for which the user does not have delete permissions or possibly to privilege escalation.