CVE-2018-16886

Yüksek

Açıklama

3.2.26 öncesindeki 3.2.x ve 3.3.11 öncesindeki 3.3.x etcd sürümleri, rol tabanlı erişim kontrolü (RBAC) kullanıldığında ve client-cert-auth etkinleştirildiğinde hatalı kimlik doğrulama sorununa karşı savunmasızdır. Eğer bir etcd istemci sunucu TLS sertifikası, geçerli bir RBAC kullanıcı adıyla eşleşen bir Common Name (CN) içeriyorsa, uzak bir saldırgan, gRPC-gateway'e yapılan bir REST API isteğiyle herhangi bir geçerli (güvenilir) istemci sertifikasını kullanarak söz konusu kullanıcı olarak kimlik doğrulaması gerçekleştirebilir.

ÖnemYüksek

CVSS8.1

İstismar olasılığı—

Ürün

Etcd

Yayın14 Oca 2019

İlk görülme14 Oca 2019

Zayıflık türüCWE-287Hatalı kimlik doğrulama

Nasıl düzeltilir

Güncelleyin

etcd etcd3.2.26, 3.3.11 ya da sonraki bir sürüm
go.etcd.io/etcd/v33.2.26, 3.3.11 ya da sonraki bir sürüm
go.etcd.io/etcd0.5.0-alpha.5.0.20190108173120-83c051b701d3 ya da sonraki bir sürüm

Üretici duyuruları

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
etcd etcd	3.2.0 ≤ v < 3.2.26, 3.3.0 ≤ v < 3.3.11	3.2.26, 3.3.11
redhat enterprise_linux_desktop	7.0	—
redhat enterprise_linux_server	7.0	—
redhat enterprise_linux_workstation	7.0	—
fedoraproject fedora	30	—
go.etcd.io/etcd/v3Go	3.2.0 ≤ v < 3.2.26, 3.3.0 ≤ v < 3.3.11	3.2.26, 3.3.11
go.etcd.io/etcdGo	v < 0.5.0-alpha.5.0.20190108173120-83c051b701d3	0.5.0-alpha.5.0.20190108173120-83c051b701d3

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.