Podatności Vanus

Vanus w wersjach od 0.8.0 do 0.9.0 zawiera podatność braku autoryzacji w bramie, która pozwala każdemu uwierzytelnionemu użytkownikowi wywoływać metody Subscribe, Ack i niezarejestrowane metody bez sprawdzania uprawnień. Atakujący mogą podać identyfikator subskrypcji innego najemcy w Subscribe, aby ją przejąć, odczytywać i potwierdzać jej zdarzenia, zagłodzić legalnego konsumenta i wyliczać użytkowników klastra poprzez ListUser.

Vanus w wersjach od 0.8.0 do 0.9.0 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym publikować zdarzenia do dowolnego eventbusa poprzez odbiornik HTTP CloudEvents w bramie. Atakujący mogą wysyłać sfałszowane CloudEvents na ścieżki /namespaces/{ns}/eventbus/{name}/events lub starsze /gateway/{name}, omijając uwierzytelnianie tokenem i kontrole authPublish, przez co są one przechowywane i dostarczane do odbiorców subskrypcji.

Vanus w wersjach od 0.8.0 do 0.9.0 zawiera podatność związaną z domyślnymi poświadczeniami, która pozwala nieuwierzytelnionym zdalnym atakującym uzyskać dostęp na poziomie cluster-admin poprzez użycie zakodowanego na stałe tokenu administratora. Atakujący mogą wysłać stały token Bearer do portu proxy gRPC bramy, aby zarządzać przestrzeniami nazw, eventbusami, użytkownikami, tokenami i powiązaniami ról oraz odczytywać lub publikować zdarzenia.