CVE-2022-32268

StarWind SAN e NAS versão 0.2 build 1914

Foi identificada uma falha na API REST do StarWind Stack, permitindo a execução remota de código. O comando REST para alterar o nome do host não verifica o parâmetro do novo nome do host, o que pode ser explorado por um invasor com acesso de usuário não root para injetar dados arbitrários no comando. Este comando é executado com privilégios de root, representando um risco significativo.

Para o StarWind SAN e NAS versão 0.2 build 1914, considere restringir o acesso ao endpoint da API REST que permite a alteração do nome do host até que uma correção esteja disponível. Como solução alternativa temporária, limite a capacidade de usuários não root de interagir com este endpoint para minimizar o risco de exploração.