Vulnerabilidad en Open Policy Agent (OPA) (CVE-2022-36085)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

08/09/2022

Última modificación:

07/11/2023

Descripción

Open Policy Agent (OPA) es un motor de políticas de propósito general de código abierto.&#xa0;El compilador de Rego proporciona una función "WithUnsafeBuiltins" (en desuso), que permite a usuarios proporcionar un conjunto de funciones integradas que el compilador debería considerar inseguras y, como tales, rechazarlas si son encontradas en la etapa de compilación de políticas. .&#xa0;Se ha encontrado una omisión de esta protección, en la que "WithUnsafeBuiltins" no es tenido en cuenta el uso de la palabra clave "with" para simular una función integrada de este tipo (una característica introducida en OPA v0.40.0).&#xa0;Deben cumplirse múltiples condiciones para crear un efecto adverso.&#xa0;La versión 0.43.1 contiene un parche para este problema.&#xa0;Como mitigación, evite usar la función "WithUnsafeBuiltins" y use la funcionalidad "capabilities" en su lugar

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto