Incus 6.0.3 before 6.0.7, 6.6.0 before 7.0.2, and 7.1.0 before 7.5.0 contains an improper...
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Incus の一部版では、制限付きの TLS クライアントが default プロジェクト内のストレージバケットの鍵を取得できる認可の不備があります。取得された S3 のアクセスキーとシークレットキーを使うと、バケット内のオブジェクトを読み取り・変更・削除されるおそれがあります。影響を受ける版は 6.0.3 から 6.0.7 未満、6.6.0 から 7.0.2 未満、7.1.0 から 7.5.0 未満で、6.0.7、7.0.2、7.5.0 以降に更新してください。
Paquets affectés
| Écosystème | Paquet | Concernées | Corrigé |
|---|---|---|---|
| lxc | incus |
≥ 6.0.3, < 6.0.7 ≥ 6.6.0, < 7.0.2 ≥ 7.1.0, < 7.5.0 |
6.0.7 7.0.2 7.5.0 |
Description d'origine La description telle que publiée par la source (souvent en anglais).
Incus 6.0.3 before 6.0.7, 6.6.0 before 7.0.2, and 7.1.0 before 7.5.0 contains an improper authorization vulnerability that allows restricted TLS clients to read storage bucket keys in the default project. Attackers can query the bucket keys endpoints to obtain S3 access and secret keys, then read, modify or delete objects in those buckets.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
Références
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com