Vulnerabilidad en fleet (CVE-2022-23600)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-287 Autenticación incorrecta

Fecha de publicación:

04/02/2022

Última modificación:

11/02/2022

Descripción

fleet es un administrador de dispositivos de código abierto, construido sobre osquery. Las versiones anteriores a la 4.9.1 exponen una capacidad limitada para falsificar la autenticación SAML con una falta de verificación de audiencia. Esto afecta a los despliegues que usan SAML SSO en dos casos específicos: 1. Un Proveedor de Servicios (SP) malicioso o comprometido podría reusar la respuesta SAML para iniciar sesión en Fleet como un usuario - sólo si el usuario presenta una cuenta con el mismo correo electrónico en Fleet, _y_ el usuario es registrado en el SP malicioso por medio de SAML SSO desde el mismo Proveedor de Identidad (IdP) configurado con Fleet. 2. Un usuario con una cuenta en Fleet podría reusar una respuesta SAML destinada a otro SP para iniciar sesión en Fleet. Esto sólo es un problema si el usuario está bloqueado de Fleet en el IdP, pero sigue teniendo una cuenta en Fleet. Si el usuario está bloqueado en el IdP por completo, esto no puede ser explotado. Fleet versión 4.9.1 resuelve este problema. Los usuarios que no puedan actualizarse deberán: Reducir la duración de las sesiones en su IdP para reducir la ventana de reúso maliciosa, Limitar la cantidad de Proveedores de Servicios SAML/Aplicaciones usadas por las cuentas de usuario con acceso a Fleet, y Cuando elimine el acceso a Fleet en el IdP, elimine también el usuario de Fleet de Fleet

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

6.50

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:M/Au:S/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 3.50 BAJA
Vector: AV:N/AC:M/Au:S/C:P/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno