目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2023-51663— Hail 安全漏洞

一分钟漏洞结论

影响对象
hail-is hail
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

Hail是一款基于 Python 的开源通用数据分析工具，具有用于处理基因组数据的附加数据类型和方法。 Hail 0.2.127之前版本存在安全漏洞，该漏洞源于Hail依靠 ID 令牌中的 OpenID Connect (OIDC) 电子邮件地址来验证用户域的有效性，但由于用户可以更改其电子邮件地址，因此用户可以创建其他帐户并使用他们不应访问的集群中的资源。

CVSS 5.3 · Medium EPSS 0.37% · P31

可能的 ATT&CK 技术 1 AI

T1078.004 · Cloud Accounts
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2023-51663 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Hail authentication can be bypassed by changing email address
来源: CVE Program / CVE List V5
Vulnerability Description
Hail is an open-source, general-purpose, Python-based data analysis tool with additional data types and methods for working with genomic data. Hail relies on OpenID Connect (OIDC) email addresses from ID tokens to verify the validity of a user's domain, but because users have the ability to change their email address, they could create accounts and use resources in clusters that they should not have access to. For example, a user could create a Microsoft or Google account and then change their email to `test@example.org`. This account can then be used to create a Hail Batch account in Hail Batch clusters whose organization domain is `example.org`. The attacker is not able to access private data or impersonate another user, but they would have the ability to run jobs if Hail Batch billing projects are enabled and create Azure Tenants if they have Azure Active Directory Administrator access.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
来源: CVE Program / CVE List V5
Vulnerability Type
使用候选名称进行的认证绕过
来源: CVE Program / CVE List V5
Vulnerability Title
Hail 安全漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
Hail是一款基于 Python 的开源通用数据分析工具，具有用于处理基因组数据的附加数据类型和方法。 Hail 0.2.127之前版本存在安全漏洞，该漏洞源于Hail依靠 ID 令牌中的 OpenID Connect (OIDC) 电子邮件地址来验证用户域的有效性，但由于用户可以更改其电子邮件地址，因此用户可以创建其他帐户并使用他们不应访问的集群中的资源。
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD

受影响产品

厂商 产品 影响版本 CPE 订阅
hail-is hail < 0.2.127 -

二、漏洞 CVE-2023-51663 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2023-51663 的情报信息

请登录查看更多情报信息。

CVE-2023-51663 厂商安全公告 (1)

IV. Related Vulnerabilities

Same weakness: CWE-289