CVE-2023-35930
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
SpiceDB, system baz danych inspirowany Google Zanzibar, ma problem z negatywnymi decyzjami autoryzacyjnymi przy użyciu zapytania `LookupResources` w wersji 1.22.0. Użytkownicy mogą nieprawidłowo uzyskać dostęp do zasobów, które powinny być zablokowane.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do zasobów, co może prowadzić do poważnych naruszeń bezpieczeństwa. W szczególności, niewłaściwe decyzje autoryzacyjne mogą zagrażać integralności danych.
Rekomendacja
Zaleca się aktualizację do wersji 1.22.2, aby usunąć tę podatność. Użytkownicy, którzy nie mogą zaktualizować, powinni unikać korzystania z `LookupResources` do podejmowania negatywnych decyzji autoryzacyjnych.
Inne podatności w SpiceDB
Zobacz wszystkie- CVE-2026-55866Niskie
SpiceDB od wersji 1.34.0 do 1.54.0 może zwracać PERMISSIONSHIP_HAS_PERMISSION zamiast PERMISSIONSHIP_CONDITIONAL_PERMISSION lub PERMISSIONSHIP_NO_PERMISSION, ponieważ checkRequestToKey() i checkRequestToKeyWithCanonical() w internal/dispatch/keys/computed.go pomijają CheckHints przy budowaniu kluczy pamięci podręcznej. Wynik obliczony dla jednego zestawu wskazówek może zatruć wpis pamięci podręcznej używany przez semantycznie inny test autoryzacji.
- CVE-2026-46668Niskie
W SpiceDB od wersji 1.15.0 do przed 1.52.0 wykryto podatność, w której struktury caveat z zagnieżdżonymi listami mogą prowadzić do nieprawidłowego ponownego użycia pamięci podręcznej (cache). Poprawiono w wersji 1.52.0.
- CVE-2025-65111Średnie
SpiceDB to open source'owy system bazodanowy do tworzenia i zarządzania uprawnieniami aplikacji o krytycznym znaczeniu dla bezpieczeństwa. W wersjach przed 1.47.1, jeśli schemat zawiera określone cechy (uprawnienie zdefiniowane jako suma (+) odwołująca się do tej samej relacji po obu stronach, ale jedna strona wskazuje na inne uprawnienie), SpiceDB może zwracać niekompletne wyniki LookupResources. Problem dotyczy tylko LookupResources; inne API obliczają uprawnienia poprawnie. Naprawiono w wersji 1.47.1.
Oryginalny opis (angielski, źródło NVD)
SpiceDB is an open source, Google Zanzibar-inspired, database system for creating and managing security-critical application permissions. Any user making a negative authorization decision based on the results of a `LookupResources` request with 1.22.0 is affected. For example, using `LookupResources` to find a list of resources to allow access to be okay: some subjects that should have access to a resource may not. But if using `LookupResources` to find a list of banned resources instead, then some users that shouldn't have access may. Generally, `LookupResources` is not and should not be to gate access in this way - that's what the `Check` API is for. Additionally, version 1.22.0 has included a warning about this bug since its initial release. Users are advised to upgrade to version 1.22.2. Users unable to upgrade should avoid using `LookupResources` for negative authorization decisions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS