Vulnerabilidad en Vaultwarden (CVE-2024-39925)

Se descubrió un problema en Vaultwarden (anteriormente Bitwarden_RS) 1.30.3. Carece de un proceso de desvinculación para los miembros que abandonan una organización. Como resultado, la clave de organización compartida no se rota cuando un miembro se va. En consecuencia, el miembro que se va, cuyo acceso debe revocarse, conserva una copia de la clave de la organización. Además, la aplicación no protege adecuadamente algunos datos cifrados almacenados en el servidor. En consecuencia, un usuario autenticado podría obtener acceso no autorizado a los datos cifrados de cualquier organización, incluso si el usuario no es miembro de la organización en cuestión. Sin embargo, el usuario necesitaría saber el ID de organización correspondiente. Por lo tanto, si un usuario (cuyo acceso a una organización ha sido revocado) ya posee la clave de la organización, ese usuario podría usar la clave para descifrar los datos filtrados.