Vulnerabilidad en vantage6 (CVE-2024-21653)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

30/01/2024

Última modificación:

08/02/2024

Descripción

La tecnología vantage6 permite gestionar e implementar tecnologías que mejoran la privacidad, como el Federated Learning (FL) y la Multi-Party Computation (MPC). Los nodos y servidores obtienen una configuración ssh de forma predeterminada que permite el inicio de sesión root con autenticación de contraseña. En una implementación adecuada, el servicio SSH no queda expuesto por lo que no hay riesgo, pero no todas las implementaciones son ideales. Por lo tanto, el valor predeterminado debería ser menos permisivo. La vulnerabilidad se puede mitigar eliminando la parte ssh del archivo docker y reconstruyendo la imagen de la ventana acoplable. La versión 4.2.0 parchea la vulnerabilidad.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto