CVE-2022-39342mediumCWE-285

CVE-2022-39342: falha de média gravidade em openfga

OpenFGA Authorization Bypass

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar openfga+ Monitorar github.com/openfga/openfga

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.9epss 1.1%
Em resumo

OpenFGA, um motor de autorização, possui uma falha que permite contornar verificações de permissão em certas configurações. Isso ocorre quando o modelo de permissões usa definições complexas de relacionamentos, podendo permitir acesso não autorizado a recursos protegidos.

Detalhe técnico

OpenFGA versões anteriores à 0.2.4 contêm uma vulnerabilidade de bypass de autorização (CWE-285) que afeta modelos com relações de tupleset envolvendo relacionamentos não-diretos. Um atacante com conhecimento da estrutura do modelo de autorização pode formular requisições que contornam a lógica de validação de permissões, ignorando controles de acesso pretendidos.

Resumo gerado e traduzido por IA a partir da descrição oficial.
OpenFGA is an authorization/permission engine. Versions prior to version 0.2.4 are vulnerable to authorization bypass under certain conditions. Users whose model has a relation defined as a tupleset (the right hand side of a ‘from’ statement) that involves anything other than a direct relationship (e.g. ‘as self’) are vulnerable. Version 0.2.4 contains a patch for this issue.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
Produtos afetados
openfga · openfga
CVEs relacionadas — openfga

No mesmo produto, das mais perigosas para as menos.

CVE-2022-39341MEDIUMOpenFGA Authorization BypassEPSS 1.1%CVE-2023-35933MEDIUMOpenFGA denial of service die to circular relationshipEPSS 1.1%CVE-2022-23542HIGHOpenFGA Authorization BypassEPSS 1.0%CVE-2023-43645MEDIUMDenial of service from circular relationship definitions in OpenFGAEPSS 0.9%CVE-2022-39340MEDIUMOpenFGA Information DisclosureEPSS 0.9%CVE-2024-23820MEDIUMOpenFGA DoSEPSS 0.7%