Vulnerabilidad en el endpoint /api/v2/config en EdgeX Foundry (CVE-2022-31066)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

14/06/2022

Última modificación:

23/06/2022

Descripción

EdgeX Foundry es un proyecto de código abierto para construir un marco común abierto para la computación de borde de la Internet de las Cosas. En versiones anteriores a 2.1.1, el endpoint /api/v2/config expone las credenciales del bus de mensajes a usuarios locales no autenticados. En el modo de seguridad habilitado, las credenciales del bus de mensajes se supone que son mantenidas en el almacén secreto de EdgeX y requieren autenticación para acceder. Esta vulnerabilidad omite los controles de acceso a las credenciales del bus de mensajes cuando es ejecutada en modo de seguridad habilitado. (No son requaridas credenciales cuando es ejecutado en modo de seguridad deshabilitada.) Como resultado, los atacantes podrían interceptar datos o inyectar datos falsos en el bus de mensajes de EdgeX. Los usuarios deben actualizar a EdgeXFoundry Kamakura versión (2.2.0) o a EdgeXFoundry LTS Jakarta versión de junio de 2022 (2.1.1) para recibir el parche. Más información sobre qué módulos go, contenedores docker y snaps contienen parches está disponible en el aviso de seguridad de GitHub. Actualmente no se presentan mitigaciones conocidas para este problema

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.40 MEDIA
Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

4.40

Gravedad 3.x

MEDIA

Vector 2.0

AV:L/AC:L/Au:N/C:P/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 3.60 BAJA
Vector: AV:L/AC:L/Au:N/C:P/I:P/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno