CVE-2022-39342mediumCWE-285

CVE-2022-39342: fallo de gravedad media en openfga

OpenFGA Authorization Bypass

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear openfga+ Monitorear github.com/openfga/openfga

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 5.9epss 1.1%
En resumen

OpenFGA, un motor de autorización, tiene una falla que permite eludir verificaciones de permiso en ciertas configuraciones. Esto ocurre cuando el modelo de permisos utiliza definiciones complejas de relaciones, permitiendo potencialmente acceso no autorizado a recursos protegidos.

Detalle técnico

OpenFGA en versiones anteriores a 0.2.4 contiene una vulnerabilidad de bypass de autorización (CWE-285) que afecta modelos con relaciones de tupleset que involucran relaciones no-directas. Un atacante con conocimiento de la estructura del modelo de autorización puede formular solicitudes que eludan la lógica de validación de permisos, ignorando los controles de acceso previstos.

Resumen generado y traducido por IA a partir de la descripción oficial.
OpenFGA is an authorization/permission engine. Versions prior to version 0.2.4 are vulnerable to authorization bypass under certain conditions. Users whose model has a relation defined as a tupleset (the right hand side of a ‘from’ statement) that involves anything other than a direct relationship (e.g. ‘as self’) are vulnerable. Version 0.2.4 contains a patch for this issue.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
Productos afectados
openfga · openfga
CVEs relacionadas — openfga

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-39341MEDIUMOpenFGA Authorization BypassEPSS 1.1%CVE-2023-35933MEDIUMOpenFGA denial of service die to circular relationshipEPSS 1.1%CVE-2022-23542HIGHOpenFGA Authorization BypassEPSS 1.0%CVE-2023-43645MEDIUMDenial of service from circular relationship definitions in OpenFGAEPSS 0.9%CVE-2022-39340MEDIUMOpenFGA Information DisclosureEPSS 0.9%CVE-2024-23820MEDIUMOpenFGA DoSEPSS 0.7%