CVE-2023-40579: falha de média gravidade em openfga
OpenFGA Authorization Bypass
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O OpenFGA versão 1.3.0 e anteriores possuem uma falha na API ListObjects que permite acesso não autorizado a objetos em certos modelos de permissão. Atacantes conseguem contornar verificações de autorização quando o modelo usa expressões específicas de relacionamento, podendo expor dados que não deveriam acessar.
A API ListObjects do OpenFGA ≤1.3.0 falha em aplicar corretamente verificações de autorização quando modelos de permissão contêm expressões de relacionamento do tipo 'rel1 from type1'. Isso permite que atacantes enumerem ou acessem objetos sem permissão, contornando controles de acesso planejados. O problema foi corrigido na versão 1.3.1.
No mesmo produto, das mais perigosas para as menos.