Terascale Open-Source Resource and Queue Manager (aka TORQUE Resource Manager) 3.0.1 and earlier allows remote attackers to bypass host-base

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• clusterresources torque resource managerдо 3.0.1 включительно
• clusterresources torque resource manager2.1.0
• clusterresources torque resource manager2.1.0p11
• clusterresources torque resource manager2.1.1
• clusterresources torque resource manager2.1.10
• clusterresources torque resource manager2.1.11
• clusterresources torque resource manager2.1.2
• clusterresources torque resource manager2.1.3
• clusterresources torque resource manager2.1.6
• clusterresources torque resource manager2.1.7
• clusterresources torque resource manager2.1.8
• clusterresources torque resource manager2.1.9
• clusterresources torque resource manager2.2.1
• clusterresources torque resource manager2.3.0
• clusterresources torque resource manager2.3.1
• clusterresources torque resource manager2.3.10
• clusterresources torque resource manager2.3.11
• clusterresources torque resource manager2.3.12
• clusterresources torque resource manager2.3.13
• clusterresources torque resource manager2.3.2

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2011-2193Multiple buffer overflows in Terascale Open-Source Resource and Queue Manager (aka TORQUE Resource Manager) 2.x before 2.4.14, 2.5.x before
  35Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Аутентификация добавляется к каждому маршруту по отдельности, а не обеспечивается централизованно. Если маршрут, добавленный позже, обходит общий промежуточный обработчик, проверка сессии для него не выполняется вовсе.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1app.use("/admin", requireSession, adminRouter);2
3// Добавленный позже маршрут обходит обработчик4app.post("/admin-api/config", updateConfig);

1const admin = express.Router();2admin.use(requireSession, requireRole("admin"));3
4admin.post("/config", updateConfig);5app.use("/admin", admin);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.