CVE-2024-42473: falha de alta gravidade em openfga
OpenFGA Authorization Bypass
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
As versões 1.5.7 e 1.5.8 do OpenFGA possuem um erro na API Check que avalia incorretamente permissões quando usa expressões `but not` e `from` com conjuntos de usuários, permitindo acessos não autorizados que deveriam ser bloqueados.
Existe uma vulnerabilidade de desvio de autorização na API Check do OpenFGA ao processar modelos de autorização contendo expressões `but not` e `from` combinadas com usersets. A falha ocorre na lógica de avaliação de permissões, permitindo que requisições de acesso que deveriam falhar passem pela verificação. As versões afetadas são 1.5.7 e 1.5.8; downgrade para 1.5.6 é recomendado como mitigação.
No mesmo produto, das mais perigosas para as menos.