CVE-2024-31223mediumexplotación observadaCWE-497

CVE-2024-31223: fallo de gravedad media en ethyca fides

Fides Information Disclosure Vulnerability in Privacy Center of SERVER_SIDE_FIDES_API_URL

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear fides+ Monitorear ethyca-fides

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

50Vexday Risk Score

Corrige ahora. Ella explotación observada por VulnCheck y tiene exploit funcional público.

ssvc Actcvss 5.3epss 1.1%
de la publicación al arma
Publicada en NVD3 jul
VulnCheck13 jun
En resumen

Una vulnerabilidad en Fides Privacy Center permite que atacantes descubran la configuración privada de la URL del servidor mediante una solicitud HTTP no autenticada, exponiendo información sensible como direcciones IP internas y puertos.

Detalle técnico

Vulnerabilidad de divulgación de información (CWE-497) en versiones de Fides de 2.19.0 a 2.39.1 que permite a atacantes no autenticados recuperar el valor de la variable SERVER_SIDE_FIDES_API_URL a través de solicitudes HTTP GET al Privacy Center, exponiendo detalles de infraestructura de backend incluyendo IPs privadas, nombres de dominio y puertos. Corregida en versión 2.39.2rc0.

Resumen generado y traducido por IA a partir de la descripción oficial.
Fides is an open-source privacy engineering platform, and `SERVER_SIDE_FIDES_API_URL` is a server-side configuration environment variable used by the Fides Privacy Center to communicate with the Fides webserver backend. The value of this variable is a URL which typically includes a private IP address, private domain name, and/or port. A vulnerability present starting in version 2.19.0 and prior to version 2.39.2rc0 allows an unauthenticated attacker to make a HTTP GET request from the Privacy Center that discloses the value of this server-side URL. This could result in disclosure of server-side configuration giving an attacker information on server-side ports, private IP addresses, and/or private domain names. The vulnerability has been patched in Fides version 2.39.2rc0. No known workarounds are available.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Productos afectados
ethyca · fides
CVEs relacionadas — ethyca fides

En el mismo producto, de las más peligrosas a las menos.

CVE-2023-36827HIGHFides vulnerable to Path Traversal in Webserver APIEPSS 1.5%CVE-2024-38537NONEInclusion of Untrusted polyfill.io Code Vulnerability in fides.jsEPSS 1.4%CVE-2024-45053CRITICALRemote Code Execution Vulnerability via SSTI in Fides Webserver Jinja Email Templating EngineEPSS 1.3%CVE-2023-48224HIGHCryptographically Weak Generation of One-Time Codes for Identity Verification in ethyca-fidesEPSS 1.0%CVE-2023-41319HIGHRemote Code Execution in Custom Integration Upload in FidesEPSS 0.9%CVE-2023-46125MEDIUMFides Information Disclosure Vulnerability in Config API EndpointEPSS 0.9%