Falhas do tipo CWE-842

10 resultados

Atribuição de usuário a grupo incorreto

Ocorre quando um sistema atribui um usuário a um grupo de permissões errado, geralmente durante criação, migração ou sincronização de contas. O usuário herda privilégios que não deveria ter, ou perde acesso que precisaria, criando brechas de segurança ou indisponibilidade.

Exemplo

Um script de provisionamento em Active Directory copia permissões de um template padrão, mas usa um critério de departamento quebrado. Novos funcionários do RH entram no grupo 'Financeiro' e ganham acesso a sistemas de folha de pagamento sem autorização. Ou ao contrário: um usuário é removido de um grupo crítico durante sincronização, perdendo acesso a ferramentas essenciais.

Como mitigar

Implemente validação explícita de grupo antes de confirmar a atribuição — compare contra uma lista conhecida de grupos válidos para cada perfil. Adicione logs de auditoria e alertas quando usuários são adicionados a grupos sensíveis. Teste scripts de provisionamento em ambiente de staging com dados reais antes de produção.

CVE-2022-31007MEDIUMPrivilege escalation from administrator in eLabFTWEPSS 26.1%CVE-2023-25575HIGHSecured properties in API Platform Core may be accessible within collectionsEPSS 0.6%CVE-2024-10082HIGHCodeChecker is an analyzer tooling, defect database and viewer extension for the Clang Static Analyzer and Clang Tidy. Authentication methoEPSS 0.5%CVE-2022-45097MEDIUM Dell PowerScale OneFS 9.0.0.x-9.4.0.x contains an Incorrect User Management vulnerability. A low privileged network attacker could potentiaEPSS 0.4%CVE-2024-9412HIGHImproper Authorization Vulnerability in Rockwell Automation Verve® Asset ManagerEPSS 0.4%CVE-2024-25632HIGHUnauthorised granting of administrator privileges over arbitrary teams under certain circumstancesEPSS 0.4%CVE-2022-2990—An incorrect handling of the supplementary groups in the Buildah container engine might lead to the sensitive information disclosure or possEPSS 0.3%CVE-2022-3650—A privilege escalation flaw was found in Ceph. Ceph-crash.service allows a local attacker to escalate privileges to root in the form of a crEPSS 0.3%CVE-2022-2989HIGHAn incorrect handling of the supplementary groups in the Podman container engine might lead to the sensitive information disclosure or possiEPSS 0.3%CVE-2026-6970HIGHauthd Denial of Service and Local Privilege EscalationEPSS 0.1%