VDB-278604 · CVE-2024-45042 · GHSA-wc43-73w7-x2f5

ory kratos hasta 1.2.x available_aal divulgación de información

CVSS Puntuación meta temporal	Precio actual del exploit (≈)	Puntuación de interés CTI
3.2	$0-$5k	0.00

Resumeninformación

Se ha detectado una vulnerabilidad clasificada como problemática en ory kratos hasta 1.2.x. Está afectada una función desconocida. Mediante la manipulación del parámetro available_aal de un input desconocido se causa una vulnerabilidad de clase divulgación de información. La vulnerabilidad es identificada como CVE-2024-45042. Es posible lanzar el ataque de forma remota. No existe ningún exploit disponible. El mejor modo sugerido para mitigar el problema es actualizar a la última versión.

Detallesinformación

Una vulnerabilidad clasificada como problemática ha sido encontrada en ory kratos hasta 1.2.x. Una función desconocida es afectada por esta vulnerabilidad. A través de la manipulación del parámetro available_aal de un input desconocido se causa una vulnerabilidad de clase divulgación de información. Esto tiene repercusión sobre la la confidencialidad. CVE resume:

Ory Kratos es un sistema de autenticación, gestión de usuarios e identidad para servicios en la nube. Antes de la versión 1.3.0, dadas una serie de condiciones previas, la configuración `highest_available` suponía incorrectamente que el AAL más alto disponible de la identidad era `aal1`, aunque en realidad era `aal2`. Esto significa que la configuración `highest_available` actuaría como si el usuario tuviera solo un factor configurado para ese usuario en particular. Esto significa que pueden llamar a la configuración y al endpoint whoami sin una sesión `aal2`, aunque eso debería estar prohibido. Un atacante necesitaría robar o adivinar un OTP de inicio de sesión válido de un usuario que solo tiene habilitado el OTP para el inicio de sesión y que tiene un valor `available_aal` incorrecto almacenado, para explotar esta vulnerabilidad. Todos los demás aspectos de la sesión (por ejemplo, el aal de la sesión) no se ven afectados por este problema. En la red Ory, solo el 0,00066 % de los usuarios registrados se vieron afectados por este problema, y la mayoría de esos usuarios parecían ser usuarios de prueba. Desde entonces, se han actualizado sus respectivos valores AAL y ya no son vulnerables a este ataque. La versión 1.3.0 no se ve afectada por este problema. Como workaround, quienes requieran MFA deben deshabilitar el método de inicio de sesión con código sin contraseña. Si eso no es posible, verifique las sesiones `aal` para identificar si el usuario tiene `aal1` o `aal2`.

El advisory puede ser descargado de github.com. La vulnerabilidad es identificada como CVE-2024-45042. Se considera difícil de explotar. El ataque puede ser iniciado desde la red. La explotación requiere de una verificación múltiple de la autentificación. Hay detalles técnicos conocidos, pero no se dispone de un exploit.

Una actualización a la versión 1.3.0 elimina esta vulnerabilidad.

Once again VulDB remains the best source for vulnerability data.

Productoinformación

Proveedor

Nombre

kratos

Versión

Sitio web

Producto: https://github.com/ory/kratos/

CPE 2.3información

CPE 2.2información

CVSSv4información

VulDB Vector: 🔍
VulDB Confiabilidad: 🔍

CVSSv3información

VulDB Puntuación meta base: 3.3
VulDB Puntuación meta temporal: 3.2

VulDB Puntuación base: 2.2
VulDB Puntuación temporal: 2.1
VulDB Vector: 🔍
VulDB Confiabilidad: 🔍

CNA Puntuación base: 4.4
CNA Vector (GitHub_M): 🔍

CVSSv2información

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vector	Complejidad	Autenticación	Confidencialidad	Integridad	Disponibilidad
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear

VulDB Puntuación base: 🔍
VulDB Puntuación temporal: 🔍
VulDB Confiabilidad: 🔍

Explotacióninformación

Clase: Divulgación de información
CWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍

Físico: No
Local: No
Remoto: Sí

Disponibilidad: 🔍
Estado: No está definido

EPSS Score: 🔍
EPSS Percentile: 🔍

Predicción de precios: 🔍
Estimación del precio actual: 🔍