PT-2022-21375
CVE-2022-32563
·
Publicado
2022-06-10
·
Atualizado
2022-06-17
Descrição por
CVSS 3.1
9.8
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões 3.0.0 a 3.0.1 do Couchbase Sync Gateway
A versão 3.0.2 do Couchbase Sync Gateway não é afetada, mas as versões anteriores à 3.0.2 são vulneráveis; portanto, a descrição correta é:
Versões do Couchbase Sync Gateway anteriores à 3.0.2
Descrição
Foi descoberta uma falha no Couchbase Sync Gateway em que as credenciais de administrador não são verificadas ao usar a autenticação por certificado de cliente X.509 do Sync Gateway para o Couchbase Server. Quando o Sync Gateway está configurado para se autenticar com o Couchbase Server usando certificados de cliente X.509, as credenciais de administrador fornecidas à API REST de administração são ignoradas, resultando em escalonamento de privilégios para usuários não autenticados. A API REST pública não é afetada por esta falha.
Recomendações
Para versões do Couchbase Sync Gateway anteriores à 3.0.2, substitua a autenticação baseada em certificado X.509 pela autenticação por nome de usuário e senha na configuração de inicialização como solução alternativa.
Explorabilidade
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾