CVE-2022-39292: falha de alta gravidade em abdolence slack-morphism-rust
Exposure of sensitive Slack webhook URLs in debug logs and traces
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
A biblioteca Slack Morphism estava registrando URLs sensíveis de webhooks nos logs de depuração, o que poderia expor tokens privados de autenticação do Slack se alguém acessasse esses registros. Isso é perigoso porque qualquer pessoa com acesso aos logs poderia usar essas URLs para enviar mensagens não autorizadas para canais do Slack.
Vulnerabilidade CWE-1258 nas versões anteriores a 1.3.2 do Slack Morphism, onde a funcionalidade de logging de depuração expõe inadvertidamente URLs de webhook contendo credenciais de autenticação. O vetor de ataque requer acesso local ou remoto aos logs de depuração; o impacto inclui invocações de webhook não autorizadas e potencial movimento lateral dentro dos workspaces do Slack. Corrigido pela implementação de redação de URL na saída de depuração.
No mesmo produto, das mais perigosas para as menos.