プラットフォーム
other
コンポーネント
yugabyte-db
修正版
2.14.18
2.16.10
2.18.7.0
2.20.3.0
CVE-2024-6908は、YugabyteDB Anywhereにおける特権昇格の脆弱性です。認証された管理者ユーザーが、細工されたHTTPリクエストを送信することで、SuperAdmin権限を不正に取得できる可能性があります。この脆弱性は、YugabyteDB Anywhereのバージョン2.14.0.0から2.20.3.0に影響を与えます。バージョン2.20.3.0へのアップグレードで修正されています。
この脆弱性を悪用されると、攻撃者は認証された管理者アカウントを取得し、その権限をSuperAdminに昇格させることができます。SuperAdmin権限を持つことで、攻撃者はYugabyteDB Anywhereのすべての機能にアクセスし、データを改ざんしたり、システムを完全に制御したりすることが可能になります。機密情報への不正アクセス、データの損失、システムの停止など、深刻な影響を引き起こす可能性があります。この脆弱性は、Yugabyte Platformの他のコンポーネントにも影響を及ぼす可能性があります。
この脆弱性は、2024年7月19日に公開されました。現時点では、公開されているPoCは確認されていませんが、特権昇格の脆弱性であるため、悪用される可能性は否定できません。CISA KEVリストへの登録状況は不明です。攻撃者による悪用が確認された場合、迅速な対応が必要です。
Organizations utilizing YugabyteDB Anywhere in production environments, particularly those with administrative users who have broad privileges, are at risk. This includes deployments where access controls are not strictly enforced and where the principle of least privilege is not consistently applied. Shared hosting environments utilizing YugabyteDB Anywhere may also be vulnerable if administrative accounts are not properly isolated.
disclosure
エクスプロイト状況
EPSS
0.05% (16% パーセンタイル)
CISA SSVC
この脆弱性への対応策として、YugabyteDB Anywhereをバージョン2.20.3.0以降にアップグレードすることを推奨します。アップグレードが困難な場合は、HTTPリクエストの入力検証を強化し、管理者権限の昇格を防止するカスタムのアクセス制御ルールを実装することを検討してください。WAF（Web Application Firewall）を使用して、悪意のあるHTTPリクエストをブロックすることも有効です。アップグレード後、システムログを監視し、不正なアクセス試行がないか確認してください。
Actualice YugabyteDB Anywhere a la última versión disponible. Las versiones 2.14.18.0, 2.16.10.0, 2.18.7.0 y 2.20.3.0 o superiores contienen la corrección para esta vulnerabilidad. Esto evitará que usuarios administradores escalen sus privilegios a SuperAdmin mediante solicitudes HTTP manipuladas.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-6908は、YugabyteDB Anywhereの認証された管理者ユーザーが、細工されたHTTPリクエストによりSuperAdmin権限を昇格させられる脆弱性です。
YugabyteDB Anywhereのバージョン2.14.0.0から2.20.3.0を使用している場合は、影響を受ける可能性があります。
YugabyteDB Anywhereをバージョン2.20.3.0以降にアップグレードしてください。
現時点では、公開されているPoCは確認されていませんが、悪用される可能性は否定できません。
Yugabyteの公式アドバイザリは、Yugabyteのセキュリティ情報ページで確認できます。