OpenRemoteで権限不備、1.31.0に修正版あり
Summary
IoT基盤の OpenRemote 1.2.0 以上 1.31.0 未満に、ログインさえしていれば管理者でなくてもゲートウェイのトンネルを開始・停止・照会できる弱点が見つかりました。エッジゲートウェイを使って拠点や機器とつないでいる組織が影響を受けます。1.31.0 への更新と、一般ユーザーのアカウントの見直しを進めてください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
IoT基盤の OpenRemote 1.2.0 以上 1.31.0 未満に、ログインさえしていれば管理者でなくてもゲートウェイのトンネルを開始・停止・照会できる弱点が見つかりました。エッジゲートウェイを使って拠点や機器とつないでいる組織が影響を受けます。1.31.0 への更新と、一般ユーザーのアカウントの見直しを進めてください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| openremote | openremote |
≥ 1.2.0, < 1.31.0 |
1.31.0 |
Original description The description as published by the source.
OpenRemote 1.2.0 before 1.31.0 contains a missing authorization vulnerability in GatewayServiceResource that allows any authenticated user to start, stop and query gateway tunnels without an administrative role. Attackers can send POST or DELETE requests to the gateway tunnel endpoint to open persistent bidirectional TCP circuits into an edge gateway's network or tear down operator tunnels.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- web github.com