CVE-2024-11217mediumCWE-1295

CVE-2024-11217: falha de média gravidade em oauth-server-container

Oauth-server-container: oauth-server-container logs client secret in debug level

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Red Hat OpenShift Container Platform+ Monitorar oauth-server-container

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 4.9epss 0.4%
Em resumo

O OAuth-server registra segredos confidenciais de clientes nos logs de depuração quando o modo de debug está ativado para serviços de login. Qualquer pessoa com acesso aos logs de depuração pode ver as credenciais sensíveis armazenadas ali.

Detalhe técnico

A vulnerabilidade causa exposição de segredos OAuth2 em logs quando o logLevel está configurado como Debug ou superior para IdPs OIDC/GitHub/GitLab/Google. Um atacante com acesso de leitura aos logs da aplicação pode extrair essas credenciais e utilizá-las para contornar autenticação ou manipular tokens.

Resumo gerado e traduzido por IA a partir da descrição oficial.
A vulnerability was found in the OAuth-server. OAuth-server logs the OAuth2 client secret when the logLevel is Debug higher for OIDC/GitHub/GitLab/Google IDPs login options.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
Produtos afetados
oauth-server-containerRed Hat · Red Hat OpenShift Container Platform 4
CVEs relacionadas — oauth-server-container

No mesmo produto, das mais perigosas para as menos.

CVE-2024-6387HIGHOpenssh: regresshion - race condition in ssh allows rce/dosEPSS 99.5%CVE-2024-12084CRITICALRsync: heap buffer overflow in rsync due to improper checksum length handlingEPSS 72.5%CVE-2025-10230CRITICALSamba: command injection in wins server hook scriptEPSS 39.8%CVE-2025-26466MEDIUMOpenssh: denial-of-service in opensshEPSS 38.7%CVE-2026-4480CRITICALSamba: samba: remote code execution in printing subsystem via unescaped job descriptionEPSS 28.7%CVE-2025-26465MEDIUMOpenssh: machine-in-the-middle attack if verifyhostkeydns is enabledEPSS 7.7%