Vulnerabilidad en Kroxylicious (CVE-2024-8285)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-295 Validación incorrecta de certificados

Fecha de publicación:

30/08/2024

Última modificación:

13/11/2024

Descripción

Se encontró una falla en Kroxylicious. Al establecer la conexión con el servidor de Kafka ascendente mediante una conexión segura TLS, Kroxylicious no verifica correctamente el nombre de host del servidor, lo que genera una conexión insegura. Para que se realice un ataque exitoso, el atacante debe realizar un ataque Man-in-the-Middle o comprometer cualquier sistema externo, como DNS o configuración de enrutamiento de red. Este problema se considera un ataque de alta complejidad, con altos privilegios adicionales requeridos, ya que el ataque necesitaría acceso a la configuración de Kroxylicious o a un sistema par. El resultado de un ataque exitoso afecta tanto la integridad como la confidencialidad de los datos.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.90 MEDIA
Vector: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno