Eclipse ioFog OperatorにTLS検証不備の脆弱性、3.9.2で修正
Summary
Eclipse ioFog Operatorの3.8.0以上3.9.2未満に、通信相手の証明書を確認しない脆弱性が見つかりました。通信経路に入り込まれると、管理用の資格情報を盗まれ、偽のトークンを差し込まれるおそれがあります。該当する環境では3.9.2に更新し、資格情報の入れ替えも検討してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Eclipse ioFog Operatorの3.8.0以上3.9.2未満に、通信相手の証明書を確認しない脆弱性が見つかりました。通信経路に入り込まれると、管理用の資格情報を盗まれ、偽のトークンを差し込まれるおそれがあります。該当する環境では3.9.2に更新し、資格情報の入れ替えも検討してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Eclipse Foundation | Eclipse ioFog |
≥ 3.8.0, < 3.9.2 |
3.9.2 |
Original description The description as published by the source.
In Eclipse ioFog Operator versions 3.8.0 before 3.9.2, TLS certificate verification is disabled when the operator contacts the Controller API and when it logs in to an external OIDC issuer. An on-path attacker can present any certificate, capture the OAuth client secret (external mode) or the Controller bootstrap admin password (embedded mode with Controller HTTPS enabled), and supply the access token the operator stores for later Controller API calls. v3.8 removed Keycloak. The exposed credential is not a Keycloak realm-admin secret.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory nvd.nist.gov
- advisory github.com
- web gitlab.eclipse.org
- web gitlab.eclipse.org
- web github.com
- web github.com