Vulnerabilidad en FlyteAdmin (CVE-2022-31145)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

13/07/2022

Última modificación:

20/07/2022

Descripción

FlyteAdmin es el plano de control de Flyte responsable de la administración de entidades y de la administración de las ejecuciones del flujo de trabajo. En versiones 1.1.30 y anteriores, los usuarios autenticados usando un proveedor de identidad externo pueden seguir usando los tokens de acceso y los tokens de identificación incluso después de que expiren. Los usuarios que usan FlyteAdmin como servidor de autorización OAuth2 no están afectados por este problema. Se presenta un parche disponible en la rama "master" del repositorio. Como mitigación, rotar las claves de firma inmediatamente invalidará todas las sesiones abiertas y obligará a todos los usuarios a intentar obtener nuevos tokens. Aquellos que usen esta mitigación deberían continuar rotando las claves hasta que FlyteAdmin haya sido actualizado y ocultar la URL de entrada del despliegue de FlyteAdmin de Internet

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno