VDB-193301 · CVE-2022-23632 · GHSA-hrhx-6h34-j5hc

Traefik まで2.6.0 TLS Configuration Host 弱い認証

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
6.4	$0-$5k	0.00

Traefik まで2.6.0内に重大として分類された脆弱性が発見されました。この問題により影響を受けるのは、コンポーネント【TLS Configuration Handler】の未知の機能です。【Host】引数を未知の値で改ざんすることが、弱い認証を突く攻撃に繋がります。この脆弱性に対応するCWEの定義は CWE-295 です。この脆弱性は 2022年02月17日ににて「GHSA-hrhx-6h34-j5hc」として紹介されました。アドバイザリーは github.com から入手可能です。

この脆弱性は CVE-2022-23632 として扱われます。 CVEの割り当ては 2022年01月19日に行われました。攻撃はリモートで開始される場合があります。技術的詳細情報が入手可能です。攻撃の複雑度はやや高めです。悪用は難しいようです。入手できるエクスプロイトツールはありません。現時点で、脆弱性の構成から考えられる取引価格帯を約$0-$5k米ドルと算出しました。この脆弱性は、MITRE ATT&CKプロジェクトによって T1587.003 に割り当てられました。

このエクスプロイトツールは未定義として宣言されています。 0dayにはおよそ $0-$5k の価値があったと予想しています。】のプラグインを提供しています。

バージョン 2.6.1 をアップグレードすることで、この問題に対処できます。アップグレードされたバージョンは、github.com からダウンロードする準備ができています。バグフィックスは、github.com からダウンロードすることが可能です。影響を受けているコンポーネントのアップグレードを推奨します。考えられる回避策が、前として脆弱性の公開後公表されました。