CVE-2024-6834
KrytyczneStreszczenie
Podatność w APIML Spring Cloud Gateway wykorzystuje uprawnienia użytkownika poprzez nieoczekiwane podpisywanie żądania proxy przez certyfikat klienta Zowe. Umożliwia to dostęp do punktów końcowych wymagających wewnętrznego certyfikatu klienta bez potrzeby posiadania jakichkolwiek poświadczeń.
Ocena ryzyka
Może to prowadzić do zarządzania komponentami oraz umożliwić atakującemu przejęcie całej komunikacji, w tym poświadczeń użytkowników, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się przegląd i aktualizację konfiguracji APIML Spring Cloud Gateway oraz wdrożenie dodatkowych mechanizmów uwierzytelniania, aby zabezpieczyć dostęp do wrażliwych punktów końcowych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in APIML Spring Cloud Gateway which leverages user privileges by unexpected signing proxied request by Zowe's client certificate. This allows access to a user to the endpoints requiring an internal client certificate without any credentials. It could lead to managing components in there and allow an attacker to handle the whole communication including user credentials.