Greenpepper15

O RADOS Gateway (RGW) utiliza um manipulador AES-128-CBC para proteger tokens de sessão STS que não possui autenticação de mensagem. Isso permite que um invasor com um token STS válido realize um bit-flip CBC nos campos `acct type`, `perm type` e `is admin`. Ao forjar o valor de `is admin`, o invasor pode acionar uma anulação administrativa global para ignorar todas as verificações de capacidade e obter acesso administrativo total ao RGW. Este problema é acessível remotamente através do endpoint S3 do RGW e requer apenas um único token STS válido com o STS habilitado.

O manipulador de assinatura do Monitor falha ao autorizar adequadamente o acesso ao armazenamento de chaves de configuração. Um usuário CephX com capacidades `mon allow r` pode ler todo o armazenamento enviando uma mensagem MMonSubscribe manipulada. O armazenamento de chaves de configuração contém segredos sensíveis, como senhas de criptografia de disco OSD LUKS e a chave privada SSH usada pelo cephadm para acessar hosts no cluster. Sob as configurações padrão do cephadm, esta chave fornece acesso root a cada nó, permitindo que uma conta de leitura apenas com baixos privilégios consiga o comprometimento total do cluster e dos hosts.

O manipulador SigV4 do Ceph Object Gateway (RGW) não rejeita solicitações que contenham cabeçalhos `x-amz-*` ausentes do conjunto de cabeçalhos assinados. Enquanto o AWS S3 exige que todos os cabeçalhos `x-amz-*` em uma solicitação SigV4 sejam assinados, o RGW valida apenas os cabeçalhos listados em `X-Amz-SignedHeaders` e ignora os adicionais não assinados, permitindo que eles entrem em vigor. Um invasor com uma URL PUT pré-assinada pode anexar cabeçalhos `x-amz-*` não assinados arbitrários para escalar privilégios e obter capacidades além do pretendido pelo signatário.