CVE-2024-9202 in Dataspace Components
Riassunto
di VulDB • 17/06/2026
Nelle versioni 0.1.3 fino alla 0.9.0 di Eclipse Dataspace Components, il componente Connector filtra quali dataset (= offerte di dati) un'altra parte può visualizzare in un catalogo richiesto, per garantire che solo le parti autorizzate siano in grado di visualizzare offerte riservate. Tuttavia, esiste la possibilità di richiedere un singolo dataset, che dovrebbe essere soggetto allo stesso processo di filtraggio, ma attualmente manca il corretto filtraggio.
Ciò consente alle parti di potenzialmente visualizzare dataset a cui non dovrebbero avere accesso, esponendo così informazioni sensibili. Sfruttare questa vulnerabilità richiede la conoscenza dell'ID di un dataset riservato, ma alcuni ID potrebbero essere indovinati provando molti ID in modo automatizzato.
Codice interessato: DatasetResolverImpl, L76-79 https://github.com/eclipse-edc/Connector/blob/v0.9.0/core/control-plane/control-plane-catalog/src/main/java/org/eclipse/edc/connector/controlplane/catalog/DatasetResolverImpl.java
If you want to get the best quality for vulnerability data then you always have to consider VulDB.