एडमिन मैनुअल PUT अनुरोध का उपयोग करके सुपरएडमिन विशेषाधिकार बढ़ा सकता है

यह भेद्यता हमलावरों को YugabyteDB Anywhere इंस्टेंस पर सुपरएडमिन विशेषाधिकार प्राप्त करने की अनुमति देती है। सुपरएडमिन विशेषाधिकारों के साथ, एक हमलावर सिस्टम कॉन्फ़िगरेशन को संशोधित कर सकता है, डेटा तक पहुंच सकता है, और अन्य व्यवस्थापकों के कार्यों को भी निष्पादित कर सकता है। यह डेटा उल्लंघनों, सिस्टम समझौता और सेवा व्यवधान का कारण बन सकता है। इस भेद्यता का शोषण करने के लिए, एक हमलावर को पहले सिस्टम में प्रमाणित व्यवस्थापक के रूप में प्रमाणित होना होगा। फिर, वे एक तैयार HTTP PUT अनुरोध भेज सकते हैं जो विशेषाधिकारों को बढ़ाता है।

Organizations utilizing YugabyteDB Anywhere in production environments, particularly those with administrative users who have broad privileges, are at risk. This includes deployments where access controls are not strictly enforced and where the principle of least privilege is not consistently applied. Shared hosting environments utilizing YugabyteDB Anywhere may also be vulnerable if administrative accounts are not properly isolated.

1. 2024-07-19Disclosure

   disclosure

1. आरक्षित2024-07-18
2. प्रकाशित2024-07-19
3. संशोधित2024-08-01
4. EPSS अद्यतन2026-04-02

CVE-2024-6908 को कम करने के लिए, YugabyteDB Anywhere को संस्करण 2.20.3.0 या बाद के संस्करण में तुरंत अपग्रेड करने की अनुशंसा की जाती है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप HTTP PUT अनुरोधों को सुपरएडमिन विशेषाधिकारों को बढ़ाने की अनुमति देने से रोकने के लिए वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग कर सकते हैं। इसके अतिरिक्त, सुनिश्चित करें कि केवल विश्वसनीय उपयोगकर्ताओं को ही व्यवस्थापक पहुंच प्रदान की गई है और नियमित रूप से विशेषाधिकारों की समीक्षा करें। अपग्रेड के बाद, यह सत्यापित करें कि विशेषाधिकारों को ठीक से प्रबंधित किया जा रहा है और अनधिकृत पहुंच को रोका जा रहा है।