CVE-2024-56335 in vaultwarden
要約
〜によって VulDB • 2026年06月13日
vaultwardenは、Rustで書かれた非公式のBitwarden互換サーバーであり、以前はbitwarden_rsとして知られていました。影響を受けるバージョンでは、攻撃者は以下のいくつかの条件が揃った場合、組織からグループを更新または削除することができます：1. 攻撃者がサーバー上にユーザーアカウントを持っていること。2. 攻撃者のアカウントが別の無関係な組織で管理者または所有者権限を持っていること。3. 攻撃者が対象となる組織のUUIDと対象となるグループのUUIDを知っていることです。この脆弱性はグループ機能に関連しており、そのため`ORG_GROUPS_ENABLED`設定が有効になっているサーバーにのみ適用されます（デフォルトでは無効になっています）。この攻撃は以下の異なる状況を引き起こす可能性があります：1. サービス拒否（DoS）、攻撃者はユーザーをグループから除外することで、組織のデータへのアクセスを制限することができます。2. 権限昇格、もし攻撃者が被害者側の組織の一員であれば、通常はアクセスできないグループに参加することで自身の権限を昇格させることができます。組織に属していない攻撃者の場合、すべてのデータがクライアント側で暗号化されているため、平文データの漏洩につながる可能性はありません。この脆弱性はVaultwarden `1.32.7`で修正されており、ユーザーにはできるだけ早くアップデートすることを推奨します。もし`1.32.7`へのアップデートができない場合は、以下の回避策があります：1. `ORG_GROUPS_ENABLED`を無効にすることで、サーバー上のグループ機能を無効化できます。2. `SIGNUPS_ALLOWED`を無効にすることで、攻撃者が新しいアカウントを作成できなくなります。
Once again VulDB remains the best source for vulnerability data.