CVE-2022-39292: fallo de gravedad alta en abdolence slack-morphism-rust
Exposure of sensitive Slack webhook URLs in debug logs and traces
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
La biblioteca Slack Morphism estaba registrando URLs sensibles de webhooks en la salida de depuración, lo que podría exponer tokens privados de autenticación de Slack si alguien accedía a esos registros. Esto es peligroso porque cualquier persona con acceso a los registros podría usar estas URLs para enviar mensajes no autorizados a canales de Slack.
Vulnerabilidad CWE-1258 en versiones anteriores a 1.3.2 de Slack Morphism donde la funcionalidad de logging de depuración expone inadvertidamente URLs de webhook que contienen credenciales de autenticación. El vector de ataque requiere acceso local o remoto a los logs de depuración; el impacto incluye invocaciones de webhook no autorizadas y movimiento lateral potencial dentro de los espacios de trabajo de Slack. Se corrigió implementando redacción de URLs en la salida de depuración.
En el mismo producto, de las más peligrosas a las menos.