Incus にプロジェクト外の操作情報が読める認可不備
概要
Incus の GET /1.0/operations/{uuid} に認可の不備があり、プロジェクトに制限された権限のクライアントが、他プロジェクトの操作情報を読み取れる問題です。影響を受けるのは 6.0.7 未満、6.1.0 以上 7.0.2 未満、7.1.0 以上 7.5.0 未満の版で、6.0.7、7.0.2、7.5.0 以降の版で修正されています。該当する版をお使いの場合は、修正版へのアップデートをおすすめします。
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Incus の GET /1.0/operations/{uuid} に認可の不備があり、プロジェクトに制限された権限のクライアントが、他プロジェクトの操作情報を読み取れる問題です。影響を受けるのは 6.0.7 未満、6.1.0 以上 7.0.2 未満、7.1.0 以上 7.5.0 未満の版で、6.0.7、7.0.2、7.5.0 以降の版で修正されています。該当する版をお使いの場合は、修正版へのアップデートをおすすめします。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| lxc | incus |
6.0.7 未満 6.1.0 以上 7.0.2 未満 7.1.0 以上 7.5.0 未満 |
6.0.7 7.0.2 7.5.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Incus before 6.0.7, 6.1.0 before 7.0.2, and 7.1.0 before 7.5.0 contains a missing authorization vulnerability in GET /1.0/operations/{uuid} that lets project-restricted clients read operations in other projects. Attackers holding a restricted certificate and a known operation UUID can retrieve command lines, environment secrets, websocket secrets, and trust enrolment tokens.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com