CVE-2024-42185: Privilege Escalation in La Suite Numérique people service

漏洞概述 漏洞名称: Privilege Escalation via Missing Role Ceiling in Mail Domain Invitation 漏洞编号: CVE-2024-42185 严重程度: 中等 (5.5 / 10) 受影响组件: La Suite Numérique — people service (版本 1.23.1) 漏洞类型: 权限提升 (Privilege Escalation) 描述: 在 的 服务中，存在一个权限提升漏洞。持有 Administrator 角色的用户可以向系统中已存在的任何用户发送恶意的邀请请求，将其角色提升为 Owner（所有者）。该漏洞绕过了正常的角色层级限制，且无需目标用户确认即可立即生效。 影响范围 攻击前提: 攻击者必须已经拥有目标域上的 Administrator 角色。 机密性 (Confidentiality): 无影响（管理员本身已可读取所有数据）。 完整性 (Integrity): 高。攻击者可以删除域并操纵其他所有者的角色，包括将合法所有者降级。 可用性 (Availability): 低。虽然域删除具有破坏性，但这并非主要威胁。 实际影响: 持久化: 攻击者可以插入后门 Owner 账户。即使管理员权限被撤销，Escalated 账户仍保留控制权。 所有权劫持: 攻击者可以将合法所有者降级，成为域的唯一所有者。 无需交互: 权限提升是立即且静默执行的。 修复方案 在 方法中，在创建 记录之前，验证请求用户的当前角色是否大于或等于要授予的角色。 建议的代码修复示例: 或者，重新使用现有的 方法，该方法已经实现了此逻辑，在创建访问权限之前验证角色。

目標達成すべての支援者に感謝 — 100%達成しました！

CVE-2024-42185: Privilege Escalation in La Suite Numérique people service

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2024-42185: Privilege Escalation in La Suite Numérique people service

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！