Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2025-08591

Опубликовано: 23 сент. 2022
Источник: fstec
CVSS3: 6.5
CVSS2: 6.8
EPSS Низкий

Описание

Уязвимость инструмента настройки сервисов Consul и Consul Enterprise связана с непроверенным возвращенным значением. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти внедренные ограничения безопасности

Вендор

Сообщество свободного программного обеспечения
ООО «Ред Софт»
Red Hat Inc.
Fedora Project
HashiCorp

Наименование ПО

Debian GNU/Linux
РЕД ОС
Red Hat Openshift Data Foundation
Red Hat OpenShift Container Platform
Fedora
Red Hat Advanced Cluster Management for Kubernetes 2
Consul
Consul Enterprise

Версия ПО

11 (Debian GNU/Linux)
7.3 (РЕД ОС)
4 (Red Hat Openshift Data Foundation)
4 (Red Hat OpenShift Container Platform)
37 (Fedora)
38 (Fedora)
39 (Fedora)
- (Red Hat Advanced Cluster Management for Kubernetes 2)
до 1.11.9 (Consul)
от 1.12.0 до 1.12.5 (Consul)
от 1.13.0 до 1.13.2 (Consul)
до 1.11.9 (Consul Enterprise)
от 1.12.0 до 1.12.5 (Consul Enterprise)
от 1.13.0 до 1.13.2 (Consul Enterprise)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 11
ООО «Ред Софт» РЕД ОС 7.3
Fedora Project Fedora 37
Fedora Project Fedora 38
Fedora Project Fedora 39

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)
Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://discuss.hashicorp.com/t/hcsec-2022-20-consul-service-mesh-intention-bypass-with-malicious-certificate-signing-request/44628
Для РедОС:
https://redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-consul-cve-2022-40716-cve-2022-3920/?sphrase_id=1075979
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-40716
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2022-40716
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/LYZOKMMVX4SIEHPJW3SJUQGMO5YZCPHC/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ZTE4ITXXPIWZEQ4HYQCB6N6GZIMWXDAI/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/XNF4OLYZRQE75EB5TW5N42FSXHBXGWFE/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 40%
0.00177
Низкий

6.5 Medium

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.5
ubuntu
почти 3 года назад

HashiCorp Consul and Consul Enterprise up to 1.11.8, 1.12.4, and 1.13.1 do not check for multiple SAN URI values in a CSR on the internal RPC endpoint, enabling leverage of privileged access to bypass service mesh intentions. Fixed in 1.11.9, 1.12.5, and 1.13.2."

CVSS3: 6.5
redhat
почти 3 года назад

HashiCorp Consul and Consul Enterprise up to 1.11.8, 1.12.4, and 1.13.1 do not check for multiple SAN URI values in a CSR on the internal RPC endpoint, enabling leverage of privileged access to bypass service mesh intentions. Fixed in 1.11.9, 1.12.5, and 1.13.2."

CVSS3: 6.5
nvd
почти 3 года назад

HashiCorp Consul and Consul Enterprise up to 1.11.8, 1.12.4, and 1.13.1 do not check for multiple SAN URI values in a CSR on the internal RPC endpoint, enabling leverage of privileged access to bypass service mesh intentions. Fixed in 1.11.9, 1.12.5, and 1.13.2."

CVSS3: 6.5
debian
почти 3 года назад

HashiCorp Consul and Consul Enterprise up to 1.11.8, 1.12.4, and 1.13. ...

CVSS3: 6.5
github
почти 3 года назад

HashiCorp Consul vulnerable to authorization bypass

EPSS

Процентиль: 40%
0.00177
Низкий

6.5 Medium

CVSS3

6.8 Medium

CVSS2