CVE-2024-31452: falha de alta gravidade em openfga
OpenFGA Authorization Bypass
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O OpenFGA versão 1.5.0 ou posterior possui uma falha que permite invasores contornarem verificações de permissão quando usando regras de exclusão ou interseção (como 'permitir A mas não B'). Isso significa que usuários não autorizados poderiam acessar recursos que não deveriam.
CVE-2024-31452 afeta as APIs Check e ListObjects do OpenFGA quando o modelo de autorização usa operadores de exclusão ou interseção. Um atacante pode elaborar requisições que contornam a lógica de permissão pretendida, potencialmente obtendo acesso não autorizado a recursos restritos. A vulnerabilidade é corrigida na versão 1.5.3.
No mesmo produto, das mais perigosas para as menos.