CVE-2025-67793
KrytyczneStreszczenie
W DriveLock w wersjach 24.1 do 24.1.*, 24.2 do 24.2.* oraz 25.1 przed 25.1.6, użytkownicy z uprawnieniem "Zarządzanie rolami i uprawnieniami" mogą awansować siebie lub innych użytkowników DOC do roli Supervisora poprzez wywołanie API. To uprawnienie jest domyślnie zawarte w roli Administratora. Problem dotyczy głównie wdrożeń chmurowych multi-tenant; instalacje on-prem single-tenant zazwyczaj nie są dotknięte, ponieważ lokalni administratorzy zwykle mają już uprawnienia Supervisora.
Ocena ryzyka
Ryzyko obejmuje eskalację uprawnień, co może prowadzić do nieautoryzowanego dostępu do wrażliwych funkcji i danych w środowisku DriveLock, szczególnie w wdrożeniach chmurowych.
Rekomendacja
Zaleca się aktualizację DriveLock do wersji 25.1.6 lub nowszej oraz przegląd uprawnień użytkowników, aby ograniczyć ryzyko eskalacji uprawnień.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in DriveLock 24.1 through 24.1.*, 24.2 through 24.2.*, and 25.1 before 25.1.6. Users with the "Manage roles and permissions" privilege can promote themselves or other DOC users to the Supervisor role through an API call. This privilege is included by default in the Administrator role. This issue mainly affects cloud multi-tenant deployments; on-prem single-tenant installations are typically not impacted because local admins usually already have Supervisor privileges.