Alteración de URL del backend en Lura Project
- Lura and KrakenD-CE, versiones anteriores a la 2.0.2;
- KrakenD-EE versiones anteriores a la 2.0.0.
INCIBE ha coordinado la publicación de una vulnerabilidad en Lura Project, con el código interno INCIBE-2022-0850, que ha sido descubierta por el usuario Fepame de GitHub.
A esta vulnerabilidad se le ha asignado el código CVE-2022-1561. Se ha calculado una puntuación base CVSS v3.1 de 4,0, siendo el cálculo del CVSS el siguiente: AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:N/A:N.
- Los usuarios de Lura Project y KrakenD-CE deben actualizar a la versión 2.0.2 o superiores;
- los usuarios de KrakenD-EE deben actualizar a la versión 2.0.0 o superiores.
Las versiones de Lura and KrakenD-CE, anteriores a 2.0.2 y KrakenD-EE, anteriores a 2.0.0, no sanean correctamente los parámetros de la URL, permitiendo a un atacante alterar la URL del backend definida por una tubería cuando los usuarios remotos envían peticiones URL especialmente diseñadas.
La vulnerabilidad no afecta propiamente a KrakenD, pero el backend consumido podría ser vulnerable.
CWE-471: modificación de datos supuestamente inmutables.
Si tiene más información sobre este aviso, póngase en contacto con INCIBE, como se indica en la sección de asignación y publicación de CVE.
