Incus で制限付きクライアントがバケットの認証鍵を取得できる問題
Summary
Incus の一部版では、制限付きの TLS クライアントが default プロジェクト内のストレージバケットの鍵を取得できる認可の不備があります。取得された S3 のアクセスキーとシークレットキーを使うと、バケット内のオブジェクトを読み取り・変更・削除されるおそれがあります。影響を受ける版は 6.0.3 から 6.0.7 未満、6.6.0 から 7.0.2 未満、7.1.0 から 7.5.0 未満で、6.0.7、7.0.2、7.5.0 以降に更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Incus の一部版では、制限付きの TLS クライアントが default プロジェクト内のストレージバケットの鍵を取得できる認可の不備があります。取得された S3 のアクセスキーとシークレットキーを使うと、バケット内のオブジェクトを読み取り・変更・削除されるおそれがあります。影響を受ける版は 6.0.3 から 6.0.7 未満、6.6.0 から 7.0.2 未満、7.1.0 から 7.5.0 未満で、6.0.7、7.0.2、7.5.0 以降に更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| lxc | incus |
≥ 6.0.3, < 6.0.7 ≥ 6.6.0, < 7.0.2 ≥ 7.1.0, < 7.5.0 |
6.0.7 7.0.2 7.5.0 |
Original description The description as published by the source.
Incus 6.0.3 before 6.0.7, 6.6.0 before 7.0.2, and 7.1.0 before 7.5.0 contains an improper authorization vulnerability that allows restricted TLS clients to read storage bucket keys in the default project. Attackers can query the bucket keys endpoints to obtain S3 access and secret keys, then read, modify or delete objects in those buckets.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com