CVE-2023-35933
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
OpenFGA w wersjach v1.1.0 i wcześniejszych jest podatny na atak DoS, gdy wywoływane są funkcje Check i ListObjects w modelach autoryzacji z definicjami relacji cyklicznych. Użytkownicy korzystający z tych wersji są narażeni na problemy, jeśli wykonują te wywołania na podatnych modelach.
Ocena ryzyka
Atak DoS może prowadzić do niedostępności usług autoryzacji, co wpływa na funkcjonowanie aplikacji i może prowadzić do poważnych zakłóceń w organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 1.1.1 OpenFGA, aby usunąć tę podatność. Użytkownicy, którzy nie mają cyklicznych relacji w swoich modelach, nie są narażeni.
Oryginalny opis (angielski, źródło NVD)
OPenFGA is an open source authorization/permission engine built for developers. OpenFGA versions v1.1.0 and prior are vulnerable to a DoS attack when Check and ListObjects calls are executed against authorization models that contain circular relationship definitions. Users are affected by this vulnerability if they are using OpenFGA v1.1.0 or earlier, and if you are executing `Check` or `ListObjects` calls against a vulnerable authorization model. Users are advised to upgrade to version 1.1.1. There are no known workarounds for this vulnerability. Users that do not have circular relationships in their models are not affected.