One Article Review
| Source |  CVE Liste |
|---|---|
| Identifiant | 8379855 |
| Date de publication | 2023-09-06 21:15:14 (vue: 2023-09-06 23:07:41) |
| Titre | CVE-2023-41327 |
| Texte | WireMock est un outil pour se moquer des services HTTP.WireMock peut être configuré pour permettre uniquement la proxyme (et donc l'enregistrement) à certaines adresses.Ceci est réalisé via une liste de règles d'adresse autorisées et une liste des règles d'adresse refusées, où la liste autorisée est évaluée en premier.
Jusqu'à ce que WiMock WebHooks Extension 3.0.0-Beta-15, le filtrage des adresses cibles à partir du mode proxy ne fonctionnait pas pour les webhooks, de sorte que les utilisateurs étaient potentiellement vulnérables, quels que soient les paramètres de `limitProxytargets.Via la configuration de webhooks weblocks, les demandes de publication d'un webhook peuvent être transmises à un service arbitraire accessible à partir de l'instance de WireMock & acirc; & euro;Par exemple, si quelqu'un exécute le conteneur Docker WireMock dans un cluster privé, il peut déclencher des demandes de poste interne contre des API non garanties ou même contre des API sécurisées en passant un jeton, découverte à l'aide d'un autre exploit, via des en-têtes d'authentification.Ce problème a été résolu dans les versions 2.35.1 et 3.0.3 de WireMock.WireMock Studio a été interrompu et ne verra pas de correctif.Les utilisateurs incapables de mettre à niveau doivent utiliser des règles de pare-feu externes pour définir la liste des destinations autorisées.
WireMock is a tool for mocking HTTP services. WireMock can be configured to only permit proxying (and therefore recording) to certain addresses. This is achieved via a list of allowed address rules and a list of denied address rules, where the allowed list is evaluated first. Until WireMock Webhooks Extension 3.0.0-beta-15, the filtering of target addresses from the proxy mode DID NOT work for Webhooks, so the users were potentially vulnerable regardless of the `limitProxyTargets` settings. Via the WireMock webhooks configuration, POST requests from a webhook might be forwarded to an arbitrary service reachable from WireMock’s instance. For example, If someone is running the WireMock docker Container inside a private cluster, they can trigger internal POST requests against unsecured APIs or even against secure ones by passing a token, discovered using another exploit, via authentication headers. This issue has been addressed in versions 2.35.1 and 3.0.3 of wiremock. Wiremock studio has been discontinued and will not see a fix. Users unable to upgrade should use external firewall rules to define the list of permitted destinations. |
| Envoyé | Oui |
| Condensat | 2023 41327 `limitproxytargets` achieved address addressed addresses against allowed another apis arbitrary authentication been beta can certain cluster configuration configured container cve define denied destinations did discontinued discovered docker evaluated even example exploit extension external filtering firewall first fix forwarded from has headers http inside instance internal issue list might mocking mode not ones only passing permit permitted post potentially private proxy proxying reachable recording regardless requests rules running secure see service services settings should someone studio target therefore token tool trigger unable unsecured until upgrade use users using versions vulnerable webhook webhooks where will wiremock wiremock’s work |
| Tags | Tool |
| Stories | |
| Notes | |
| Move | 
|
L'article ne semble pas avoir été repris aprés sa publication.
L'article ne semble pas avoir été repris sur un précédent.