Vulnerabilidad en ZOWE (CVE-2021-4314)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-269 Gestión de privilegios incorrecta

Fecha de publicación:

18/01/2023

Última modificación:

03/04/2025

Descripción

Es posible manipular el token JWT sin conocer el secreto de JWT y autenticarse sin un token JWT válido como cualquier usuario. Esto sucede sólo en la situación en la que zOSMF no tiene aplicado el APAR PH12143. Este problema afecta: versiones 1.16 a 1.19. Lo que sucede es que los servicios que utilizan el cliente ZAAS o la API API ML para realizar consultas serán engañados haciéndoles creer que la información en el token JWT es válida cuando no lo es. Es posible utilizar esto para persuadir al servicio en dirección sur de que un usuario diferente está autenticado.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno