FOGの脆弱性、低権限のAPIユーザーにroot権限でのコマンド実行を許すおそれ
Summary
FOGにおいて、認証済みで権限の低いAPIユーザーが、ストレージノードの設定を書き換えてroot権限でコマンドを実行できるおそれがある脆弱性です。影響を受けるのは1.5.10.2253より前の版と1.6.0-RC-1です。修正版として1.5.10.2253と1.6.0-RC-1が公開されているので、速やかに更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
FOGにおいて、認証済みで権限の低いAPIユーザーが、ストレージノードの設定を書き換えてroot権限でコマンドを実行できるおそれがある脆弱性です。影響を受けるのは1.5.10.2253より前の版と1.6.0-RC-1です。修正版として1.5.10.2253と1.6.0-RC-1が公開されているので、速やかに更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| FOGProject | fogproject | — | — |
Original description The description as published by the source.
FOG is a free open-source cloning/imaging/rescue suite/inventory management system. Prior to 1.5.10.2253 and 1.6.0-RC-1, an authenticated API-enabled user with uType=1 who possesses both the user's API token and the global FOG API token can use PUT /fog/storagenode/{id}/edit to modify Storage Node user, pass, and ftppath fields because the API validates the credentials but does not enforce an administrator-only role. With storage replication enabled and a usable Storage Node, FOGImageReplicator interpolates those fields into an lftp command executed through proc_open() by the root-running service, allowing the low-privileged user to execute commands as root. This issue is fixed in versions 1.5.10.2253 and 1.6.0-RC-1.
Source: CVE.org (CVE Program・cvelistV5) NVD