Vulnérabilités dans Ceph

Date de publication :

De multiples vulnérabilités ont été découvertes dans Ceph, plateforme de stockage distribué. Un attaquant distant non-authentifié peut injecter des en-têtes arbitraires dans certaines communications HTTP, ainsi qu’exécuter du code JavaScript arbitraire sur le navigateur des utilisateurs.

CVE-2020-10753 [Score CVSS v3 : 6.5] : Une vulnérabilité de type injection d’en-têtes a été découverte dans le composant Object Gateway de Ceph. Un attaquant distant non-authentifié peut injecter des en-têtes HTTP arbitraires dans la réponse d’une requête CORS via un bogue dans l’interprétation des fichiers de configuration du programme.

CVE-2020-1760 [Score CVSS v3 : 6.1] : Une vulnérabilité de type XSS (“cross-site scripting”) a été découverte dans le composant Object Gateway de Ceph, permise par l’interprétation de requêtes Amazon S3 anonymes. Un attaquant distant non-authentifié peut injecter du code JavaScript arbitraire dans les pages visitées par un utilisateur via l’envoi d’entrées spécialement conçues.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Injection d’en-têtes HTTP arbitraires
  • Exécution de code JavaScript arbitraire sur le navigateur des utilisateurs

Criticité

  • Score CVSS v3 : 6.5 maximum

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement à ce jour

Composants vulnérables

  • CVE-2020-10753:

    • Ceph 15 avant la version 15.2.4
    • Ceph 14 avant la version 14.2.10
  • CVE-2020-1760: 

    • Ceph 15 avant la version 15.2.1
    • Ceph 14 avant la version 14.2.9
    • Ceph 13 avant la version 13.2.9

CVE

  • CVE-2020-10753
  • CVE-2020-1760

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour Ceph vers une version non-vulnérable (voir la section “Composants vulnérables”)

Solution de contournement

  • Aucune solution de contournement n’est disponible

Liens