CVE-2023-4456
ŚrednieCVSS 5.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W openshift-logging LokiStack znaleziono lukę, w której klucz używany do pamięci podręcznej jest zbyt ogólny, ponieważ opiera się tylko na tokenie. Umożliwia to użytkownikowi z ważnym tokenem do jednej akcji wykonanie innych akcji, o ile autoryzacja dla pierwotnej akcji jest nadal w pamięci podręcznej.
Ocena ryzyka
Luka ta może prowadzić do nieautoryzowanego dostępu do funkcji systemu przez użytkowników, którzy posiadają ważne tokeny, co zwiększa ryzyko naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się wprowadzenie bardziej szczegółowego klucza do pamięci podręcznej, aby ograniczyć dostęp do akcji tylko do tych, które są autoryzowane przez odpowiednie uprawnienia.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in openshift-logging LokiStack. The key used for caching is just the token, which is too broad. This issue allows a user with a token valid for one action to execute other actions as long as the authorization allowing the original action is still cached.