Incus で制限付きクライアントがバケットの認証鍵を取得できる問題
概要
Incus の一部版では、制限付きの TLS クライアントが default プロジェクト内のストレージバケットの鍵を取得できる認可の不備があります。取得された S3 のアクセスキーとシークレットキーを使うと、バケット内のオブジェクトを読み取り・変更・削除されるおそれがあります。影響を受ける版は 6.0.3 から 6.0.7 未満、6.6.0 から 7.0.2 未満、7.1.0 から 7.5.0 未満で、6.0.7、7.0.2、7.5.0 以降に更新してください。
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Incus の一部版では、制限付きの TLS クライアントが default プロジェクト内のストレージバケットの鍵を取得できる認可の不備があります。取得された S3 のアクセスキーとシークレットキーを使うと、バケット内のオブジェクトを読み取り・変更・削除されるおそれがあります。影響を受ける版は 6.0.3 から 6.0.7 未満、6.6.0 から 7.0.2 未満、7.1.0 から 7.5.0 未満で、6.0.7、7.0.2、7.5.0 以降に更新してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| lxc | incus |
6.0.3 以上 6.0.7 未満 6.6.0 以上 7.0.2 未満 7.1.0 以上 7.5.0 未満 |
6.0.7 7.0.2 7.5.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Incus 6.0.3 before 6.0.7, 6.6.0 before 7.0.2, and 7.1.0 before 7.5.0 contains an improper authorization vulnerability that allows restricted TLS clients to read storage bucket keys in the default project. Attackers can query the bucket keys endpoints to obtain S3 access and secret keys, then read, modify or delete objects in those buckets.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com