Informazioni sul CVE-2024-2700

Quarkus-core: leak of local configuration properties into quarkus applications

CWE ID: CWE-526

Base Score (CVSS): N/A

CVE: CVE-2024-2700

Descrizione: Una vulnerabilità è stata riscontrata nel componente quarkus. Quarkus cattura le variabili ambientali locali dal namespace Quarkus durante l’esecuzione dell’applicazione, quindi l’applicazione eredita i valori catturati in fase di build. Alcune variabili ambientali locali potrebbero essere state impostate dal sviluppatore o dall’ambiente CI per scopi di test, come la rimozione del database durante l’avvio dell’applicazione o la fiducia in tutti i certificati TLS per accettare certificati self-sorgenti. Se queste proprietà sono configurate utilizzando variabili d’ambiente o il file .env, vengono catturate nell’applicazione costruita, il che può portare a un comportamento pericoloso se l’applicazione non sovrascrive questi valori. Questo comportamento si verifica solo per le proprietà di configurazione dal namespace `quarkus.*`. Le proprietà specifiche dell’applicazione non vengono catturate.

Vettore di attacco CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Punteggio CVSS

Il CVSS è un sistema di valutazione che misura la gravità di una vulnerabilità informatica considerando fattori come l’impatto potenziale, la probabilità di attacco e la facilità di esecuzione.

Punteggio Base (calcolato da AziendaSicura): 6.9 (Medium)

Riassunto: Accesso: Local, Privilegi: Low, Interazione utente: None, Confidenzialità: High, Integrità: High, Disponibilità: High.

Dettaglio del Vettore

Metrica Valore Significato Descrizione
Attack Vector (AV) L Local L’attaccante deve avere accesso locale al sistema.
Attack Complexity (AC) H High L’attacco richiede condizioni particolari o avanzate.
Privileges Required (PR) L Low Richiede pochi privilegi.
User Interaction (UI) N None Non è richiesta interazione dell’utente.
Scope (S) U Unchanged Il raggio d’azione non cambia.
Confidentiality Impact (C) H High Grave impatto sulla riservatezza.
Integrity Impact (I) H High Grave impatto sull’integrità.
Availability Impact (A) H High Rende il sistema inutilizzabile.

Riferimenti esterni

Prodotti interessati

  • Sconosciuto – Sconosciuto
  • Red Hat – HawtIO 4.0.0 for Red Hat build of Apache Camel 4
  • Red Hat – Red Hat AMQ Streams 2.7.0
  • Red Hat – Red Hat build of Apicurio Registry 2.6.1 GA
  • Red Hat – Red Hat build of Quarkus 3.2.12.Final
  • Red Hat – Red Hat build of Quarkus 3.8.4.redhat
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – RHOSS-1.33-RHEL-8
  • Red Hat – Red Hat build of Apache Camel 4 for Quarkus 3
  • Red Hat – Red Hat Build of Keycloak
  • Red Hat – Red Hat build of OptaPlanner 8
  • Red Hat – Red Hat build of Quarkus
  • Red Hat – Red Hat Integration Camel K 1
  • Red Hat – Red Hat Integration Camel Quarkus 2

Relazioni con altri prodotti

Produttore:Red Hat
Prodotto: Red Hat build of Quarkus
Anno: 2024
CWE: CWE-526
CVSS: 0.0

Produttore:Red Hat
Prodotto: Red Hat build of OptaPlanner 8
Anno: 2024
CWE: CWE-526
CVSS: 0.0

Produttore:Red Hat
Prodotto: Red Hat Integration Camel K 1
Anno: 2024
CWE: CWE-526
CVSS: 0.0

Produttore:Red Hat
Prodotto: Red Hat Integration Camel Quarkus 2
Anno: 2024
CWE: CWE-526
CVSS: 0.0

Produttore:Red Hat
Prodotto: Red Hat Build of Keycloak
Anno: 2024
CWE: CWE-526
CVSS: 0.0

Produttore:Red Hat
Prodotto: RHOSS-1.33-RHEL-8
Anno: 2024
CWE: CWE-526
CVSS: 0.0

Produttore:Red Hat
Prodotto: Red Hat AMQ Streams 2.7.0
Anno: 2024
CWE: CWE-526
CVSS: 0.0

Produttore:Red Hat
Prodotto: Red Hat build of Apache Camel 4 for Quarkus 3
Anno: 2024
CWE: CWE-526
CVSS: 0.0

Produttore:Red Hat
Prodotto: HawtIO 4.0.0 for Red Hat build of Apache Camel 4
Anno: 2024
CWE: CWE-526
CVSS: 0.0

Produttore:Red Hat
Prodotto: Red Hat build of Apicurio Registry 2.6.1 GA
Anno: 2024
CWE: CWE-526
CVSS: 0.0

Produttore:Red Hat
Prodotto: Red Hat build of Quarkus 3.2.12.Final
Anno: 2024
CWE: CWE-526
CVSS: 0.0

Produttore:Red Hat
Prodotto: Red Hat build of Quarkus 3.8.4.redhat
Anno: 2024
CWE: CWE-526
CVSS: 0.0

Ulteriori risorse disponibili