CVE-2022-32290 in Mender
Résumé
par VulDB • 03/07/2026
Le client de Northern.tech Mender versions 3.2.0, 3.2.1 et 3.2.2 présente un problème d'Incorrect Access Control (Contrôle d'accès incorrect). Il écoute sur un port TCP aléatoire non privilégié et expose un proxy HTTP pour faciliter les appels API depuis des composants clients supplémentaires exécutés sur l'appareil. Cependant, il écoute sur toutes les interfaces réseau au lieu de se limiter à l'interface localhost (127.0.0.1). Par conséquent, tout client situé sur le même réseau peut se connecter à ce port TCP et envoyer des requêtes HTTP. Le Mender Client transmettra ces requêtes au Mender Server. De plus, si mTLS est configuré, le Mender Client se connectera au Mender Server en utilisant le certificat client de l'appareil, permettant ainsi à un attaquant de contourner l'authentification mTLS et d'envoyer des requêtes au Mender Server sans accès direct au certificat client ni à la clé privée associée. L'accès au proxy HTTP depuis le réseau local ne représente pas une menace directe car il n'expose aucune donnée spécifique à l'appareil ou au serveur. Toutefois, cela augmente la surface d'attaque et peut constituer un vecteur potentiel pour exploiter d'autres vulnérabilités tant sur le Client que sur le Server.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.