Krytyczna luka w Eclipse aeriOS Identity Manager umożliwiająca nieautoryzowany dostęp

Co wiadomo

W wersji rozwojowej Eclipse aeriOS Identity Manager wykryto krytyczną lukę związaną z domyślnymi, niebezpiecznymi konfiguracjami i hasłami. Usługi Keycloak i PostgreSQL były domyślnie wystawione na zewnątrz z ustalonymi hasłami, co umożliwiało atakującym uzyskanie dostępu administracyjnego.

Wpływ biznesowy

Atakujący, który uzyska dostęp do wystawionych usług, może przejąć kontrolę nad zarządzaniem tożsamościami, modyfikować dane użytkowników, role, sesje oraz klucze kryptograficzne. Może to prowadzić do poważnych naruszeń bezpieczeństwa, w tym tworzenia uprzywilejowanych kont akceptowanych przez inne komponenty systemu.

Rekomendowane działania administratora

Zaleca się natychmiastowe przejrzenie i aktualizację konfiguracji wdrożenia Identity Manager, aby korzystać z losowo generowanych haseł administratora oraz zarządzania poświadczeniami przez Kubernetes Secrets. Należy ograniczyć dostęp do baz danych i usług tylko do sieci wewnętrznej oraz usunąć lub zmienić domyślne konta testowe przed wdrożeniem produkcyjnym. Warto również monitorować logi pod kątem nieautoryzowanych prób dostępu. DataHouse wspiera weryfikację wersji i konfiguracji oraz pomaga w zarządzaniu łatkami i ograniczaniu ekspozycji sieciowej.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference