Netmakerで別ネットワークの外部クライアントを改変される恐れ
Summary
Netmaker 1.7.0までの版には、認可の不備により、あるネットワークの権限を持つ利用者が別のネットワークの外部クライアントを改変できる脆弱性があります。公開鍵の差し替えやクライアントの無効化に加え、WireGuardの秘密鍵が取得される恐れがあります。最新の情報を確認してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Netmaker 1.7.0までの版には、認可の不備により、あるネットワークの権限を持つ利用者が別のネットワークの外部クライアントを改変できる脆弱性があります。公開鍵の差し替えやクライアントの無効化に加え、WireGuardの秘密鍵が取得される恐れがあります。最新の情報を確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| gravitl | netmaker |
≤ 1.7.0 |
— |
Original description The description as published by the source.
Netmaker through 1.7.0 contains an authorization bypass vulnerability in the updateExtClient handler that allows network-scoped users to modify external clients on other networks. Attackers with external client permissions on one network can send PUT requests to /api/extclients/{network}/{clientid} to replace public keys, disable clients, and obtain WireGuard private keys.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com