CVE

Vulnerabilidad en Fides (CVE-2023-46124)

Severidad:

ALTA

Type:

CWE-918 Falsificación de solicitud en servidor (SSRF)

Fecha de publicación:

25/10/2023

Última modificación:

01/11/2023

Descripción

Fides es una plataforma de ingeniería de privacidad de código abierto para gestionar el cumplimiento de solicitudes de privacidad de datos en entornos de ejecución y la aplicación de regulaciones de privacidad en código. La aplicación web de Fides permite cargar una integración personalizada como un archivo ZIP que contiene definiciones de configuración y conjuntos de datos en formato YAML. Se descubrió que el conjunto de datos y los archivos de configuración YAML especialmente manipulados permiten a un usuario malintencionado realizar solicitudes arbitrarias a sistemas internos y extraer datos fuera del entorno (también conocido como Server-Side Request Forgery). La aplicación no realiza una validación adecuada para bloquear los intentos de conectarse a recursos internos (incluido el host local). La vulnerabilidad ha sido parcheada en la versión `2.22.1` de Fides.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.20 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto