CVE-2024-53351

Insecure permissions w PipeCD – kradzież tokenu service account i privilege escalation

CVSS 9.8v3.1pub. 2025-03-21upd. 2025-04-01

Podatność w PipeCD v0.49 wynikająca z nieprawidłowych uprawnień (insecure permissions) umożliwia nieuwierzytelnionemu atakującemu uzyskanie dostępu do tokenu konta serwisowego. Prowadzi to do eskalacji uprawnień (privilege escalation) w środowisku, co czyni tę lukę krytyczną.

▸ Pokaż oryginał (EN)

Insecure permissions in pipecd v0.49 allow attackers to gain access to the service account's token, leading to escalation of privileges.

🤖 Analiza AI

Jak działa

Błąd sklasyfikowany jako CWE-276 (Incorrect Default Permissions) polega na tym, że PipeCD v0.49 przypisuje zbyt liberalne uprawnienia do zasobów przechowujących lub udostępniających token konta serwisowego. Atakujący, bez żadnego uwierzytelnienia i bez wymaganych interakcji po stronie użytkownika, jest w stanie uzyskać dostęp do tego tokenu przez sieć. Po przejęciu tokenu może działać z uprawnieniami powiązanego konta serwisowego.

Skutki

Atakujący może przejąć token konta serwisowego i dokonać eskalacji uprawnień, potencjalnie uzyskując pełną kontrolę nad środowiskiem zarządzanym przez PipeCD, w tym dostęp do poufnych danych, możliwość modyfikacji konfiguracji oraz zakłócenia ciągłości działania.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się sprawdzenie oficjalnego repozytorium projektu (https://github.com/pipe-cd/pipecd) oraz strony pipecd.dev w celu uzyskania informacji o dostępnych aktualizacjach. Do czasu aktualizacji należy rozważyć ograniczenie dostępu sieciowego do komponentów PipeCD oraz regularną rotację tokenów kont serwisowych.

Kogo dotyczy

PipeCD v0.49 (Linuxfoundation PipeCD)

Uwagi

Dostępny jest publiczny proof-of-concept opublikowany w serwisie GitHub Gist (https://gist.github.com/HouqiyuA/948a808b8bd48b17b37a4d5e0b6fb005), co zwiększa ryzyko wykorzystania podatności.