Autorisation incorrecte dans ash (CVE-2025-48044)
Résumé
Vulnérabilité dans ash (CVE-2025-48044). Des informations confidentielles peuvent être exposées. Exploitable via cond_expr. Atténuation : mise à jour vers 3.7.1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
Bypass policies incorrectly authorize requests when their condition evaluates to true but their authorization checks fail and no other policies apply.
Impact
Resources with bypass policies can be accessed without proper authorization when:
- Bypass condition evaluates to true
- Bypass authorization checks fail
- Other policies exist but their conditions don't match
Details
Vulnerable code in: lib/ash/policy/policy.ex:69
{%{bypass?: true}, cond_expr, complete_expr}, {one_condition_matches, all_policies_match} ->
{
b(cond_expr or one_condition_matches), # <- Bug: uses condition only
b(complete_expr or all_policies_match)
}
The final authorization decision is: one_condition_matches AND all_policies_match
When a bypass condition is true but bypass policies fail, and subsequent policies have non-matching conditions:
- one_condition_matches =
cond_expr(bypass condition) = true (bug - should check if bypass actually authorizes) - all_policies_match =
(complete_expr OR NOT cond_expr)for each policy- For non-matching policies:
(false OR NOT false)= true (policies don't apply)
- For non-matching policies:
- Final:
true AND true= true (incorrectly authorized)
The bypass condition alone satisfies "at least one policy applies" even though the bypass fails to authorize.
Fix
Replace cond_expr with complete_expr on line 69:
Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2025-48044 a été découverte dans ash.
Des attaquants peuvent cibler un point d'entrée spécifique comme cond_expr à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées.
Action : mettez à jour ash vers 3.7.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « ash CVE-2025-48044 » sur le site de l'éditeur.
CVE-2025-48044 (ash) — CWE-863
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : cond_expr / complete_expr
Correctif : 3.7.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une autorisation incorrecte (CWE-863) affecte ash. Les attaquants atteignent le code vulnérable via cond_expr.
Consultez l'avis de l'éditeur pour les versions affectées de ash. Surface d'attaque : cond_expr / complete_expr.
Gravité : ?. Des informations confidentielles peuvent être exposées.
Mettre à jour vers 3.7.1.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'ash' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
ashを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade ash to 3.7.1ステージング環境で 3.7.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package hex.pm
- package github.com
- web github.com
- web cna.erlef.org
- web github.com
- web osv.dev
- web github.com