CVE-2023-37918
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
W Dapr odkryto podatność, która umożliwia obejście uwierzytelniania za pomocą tokena API. Atakujący może skonstruować odpowiednie żądanie HTTP, które zostanie zaakceptowane przez Dapr, nawet jeśli token jest nieprawidłowy lub brak go w żądaniu.
Ocena ryzyka
Organizacje korzystające z Dapr z włączonym uwierzytelnianiem tokenem API są narażone na nieautoryzowany dostęp do swoich aplikacji. To może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Rekomendacja
Zaleca się aktualizację Dapr do wersji 1.10.9 lub 1.11.2, aby usunąć tę podatność. Należy również rozważyć przegląd konfiguracji zabezpieczeń aplikacji korzystających z Dapr.
Oryginalny opis (angielski, źródło NVD)
Dapr is a portable, event-driven, runtime for building distributed applications across cloud and edge. A vulnerability has been found in Dapr that allows bypassing API token authentication, which is used by the Dapr sidecar to authenticate calls coming from the application, with a well-crafted HTTP request. Users who leverage API token authentication are encouraged to upgrade Dapr to 1.10.9 or to 1.11.2. This vulnerability impacts Dapr users who have configured API token authentication. An attacker could craft a request that is always allowed by the Dapr sidecar over HTTP, even if the `dapr-api-token` in the request is invalid or missing. The issue has been fixed in Dapr 1.10.9 or to 1.11.2. There are no known workarounds for this vulnerability.