CVE-2024-47616

Versões do Pomerium anteriores à 0.27.1

O Pomerium é um proxy de acesso sensível à identidade e ao contexto. O serviço de broker de dados do Pomerium gerencia todo o estado persistente das aplicações do Pomerium. As solicitações à API do serviço de broker de dados são autorizadas pela presença de um JSON Web Token (JWT) assinado por uma chave conhecida por todos os serviços do Pomerium na mesma implantação. No entanto, a validação incompleta desse JWT fazia com que alguns tokens de acesso de contas de serviço fossem tratados incorretamente como válidos para fins de autorização da API do databroker. O acesso indevido à API do databroker poderia permitir a exfiltração de informações do usuário, a falsificação de sessões de usuário ou a adulteração de rotas, políticas e outras configurações do Pomerium. Uma implantação do Pomerium está suscetível a esse problema se todas as seguintes condições forem atendidas: você emitiu um token de acesso de conta de serviço usando o Pomerium Zero ou o Pomerium Enterprise, o token de acesso tem uma data de validade explícita no futuro e a API gRPC do databroker do Pomerium não está protegida por controles de acesso de rede.

Para resolver o problema, atualize para a versão 0.27.1 ou posterior do Pomerium.

Como solução alternativa temporária, considere restringir o acesso à API gRPC interna do Pomerium configurando seu firewall de rede ou grupos de segurança para limitar o acesso apenas a fontes confiáveis.

Apenas para implantações do Pomerium Zero, você pode desativar o ouvinte da API gRPC definindo grpc address: “” em seu arquivo de configuração YAML