CVE-2023-35933mediumCWE-835

CVE-2023-35933: falha de média gravidade em openfga

OpenFGA denial of service die to circular relationship

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar openfga+ Monitorar github.com/openfga/openfga

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.9epss 1.1%
Em resumo

OpenFGA versões 1.1.0 e anteriores travam quando processam verificações de autorização contra modelos com relacionamentos circulares, deixando o serviço indisponível.

Detalhe técnico

Uma vulnerabilidade de negação de serviço existe no OpenFGA v1.1.0 e anterior quando chamadas Check ou ListObjects são feitas contra modelos de autorização contendo relacionamentos circulares, desencadeando loops infinitos (CWE-835) que esgotam recursos e travem o serviço. O ataque requer submeter chamadas API legítimas a uma instância OpenFGA vulnerável; não há bypass de autenticação necessário se a API estiver exposta.

Resumo gerado e traduzido por IA a partir da descrição oficial.
OPenFGA is an open source authorization/permission engine built for developers. OpenFGA versions v1.1.0 and prior are vulnerable to a DoS attack when Check and ListObjects calls are executed against authorization models that contain circular relationship definitions. Users are affected by this vulnerability if they are using OpenFGA v1.1.0 or earlier, and if you are executing `Check` or `ListObjects` calls against a vulnerable authorization model. Users are advised to upgrade to version 1.1.1. There are no known workarounds for this vulnerability. Users that do not have circular relationships in their models are not affected.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
openfga · openfga
CVEs relacionadas — openfga

No mesmo produto, das mais perigosas para as menos.

CVE-2022-39341MEDIUMOpenFGA Authorization BypassEPSS 1.1%CVE-2022-39342MEDIUMOpenFGA Authorization BypassEPSS 1.1%CVE-2022-23542HIGHOpenFGA Authorization BypassEPSS 1.0%CVE-2023-43645MEDIUMDenial of service from circular relationship definitions in OpenFGAEPSS 0.9%CVE-2022-39340MEDIUMOpenFGA Information DisclosureEPSS 0.9%CVE-2024-23820MEDIUMOpenFGA DoSEPSS 0.7%