Incus before 6.0.7, 6.1.0 before 7.0.2, and 7.1.0 before 7.5.0 contains a missing authorization...
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Incus の GET /1.0/operations/{uuid} に認可の不備があり、プロジェクトに制限された権限のクライアントが、他プロジェクトの操作情報を読み取れる問題です。影響を受けるのは 6.0.7 未満、6.1.0 以上 7.0.2 未満、7.1.0 以上 7.5.0 未満の版で、6.0.7、7.0.2、7.5.0 以降の版で修正されています。該当する版をお使いの場合は、修正版へのアップデートをおすすめします。
Paquets affectés
| Écosystème | Paquet | Concernées | Corrigé |
|---|---|---|---|
| lxc | incus |
< 6.0.7 ≥ 6.1.0, < 7.0.2 ≥ 7.1.0, < 7.5.0 |
6.0.7 7.0.2 7.5.0 |
Description d'origine La description telle que publiée par la source (souvent en anglais).
Incus before 6.0.7, 6.1.0 before 7.0.2, and 7.1.0 before 7.5.0 contains a missing authorization vulnerability in GET /1.0/operations/{uuid} that lets project-restricted clients read operations in other projects. Attackers holding a restricted certificate and a known operation UUID can retrieve command lines, environment secrets, websocket secrets, and trust enrolment tokens.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
Références
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com