Aller au contenu
en Se connecter
8.1 Élevée

CVE-2023-4853 Quarkus: http security policy bypass

Description

A flaw was found in Quarkus where HTTP security policies are not sanitizing certain character permutations correctly when accepting requests, resulting in incorrect evaluation of permissions. This issue could allow an attacker to bypass the security policy altogether, resulting in unauthorized endpoint access and possibly a denial of service.

Détail CVSS 3.1

Vecteur CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque
Réseau
Complexité
Élevée
Privilèges requis
Aucun
Interaction
Aucune
Portée
Inchangée
Confidentialité
Élevé
Intégrité
Élevé
Disponibilité
Élevé

Produits et versions touchés

Produit Versions touchées Corrigé en
Openshift Serverless 1 on RHEL 8 Versions non publiées
Red Hat build of OptaPlanner 8 Versions non publiées
Red Hat build of Quarkus 2.13.8.SP2 2.13 premières → < 2.13.8.Final-redhat-00005 2.13.8.Final-redhat-00005
Red Hat Camel Extensions for Quarkus 2.13.3-1 Versions non publiées
Red Hat OpenShift Serverless 1.30 1.30 premières → < 1.30.0-6 1.30.0-6
RHEL-8 based Middleware Containers 7.13 premières → < 7.13.4-3 7.13.4-3
RHINT Camel-K-1.10.2 Versions non publiées
RHINT Service Registry 2.5.4 GA Versions non publiées
RHPAM 7.13.4 async Versions non publiées
Afficher les 3 autres branches
Produit Versions touchées Corrigé en
Red Hat Process Automation 7 Versions non publiées
Red Hat build of Quarkus Versions non publiées
Red Hat Integration Camel Quarkus 2 Versions non publiées

Références

Chronologie

  1. Publiée
  2. Dernière modification
Suivre cette CVE