Digest sulla sicurezza di Linode dall'11 al 18 dicembre 2022

Nel digest di questa settimana discuteremo di:

• una release di sicurezza di Kibana;
• una vulnerabilità in Traefik che gestisce le connessioni TLS; e
• una debole casualità in Webcrypto Keygen su NodeJS

Rilascio della sicurezza di Kibana

Confusione di tipo: Il programma alloca o inizializza una risorsa come un puntatore, un oggetto o una variabile utilizzando un tipo, ma in seguito accede a quella risorsa utilizzando un tipo incompatibile con quello originale. - Definizione MITRE

CVSSv3.1: NIST - 8.8 (Alto) | ID CVE: CVE-2022-1364

Aggiornamento di sicurezza 7.17.8, 8.5.0: è stata scoperta una vulnerabilità di confusione di tipo nel browser headless Chromium su cui si basa Kibana per le sue funzionalità di reporting. Questo problema riguarda solo le istanze di Kibana on-premises su sistemi operativi host in cui la sandbox di Chromium è disabilitata (solo CentOS, Debian). Questo problema non riguarda Elastic Cloud, poiché la sandbox di Chromium è abilitata per impostazione predefinita e non può essere disabilitata. Questo problema non riguarda nemmeno Elastic Cloud Enterprise.

Vulnerabilità in Traefik nella gestione delle connessioni TLS

CVSSv3.1: 

• NIST - 6,6 (Medio)
• CNA (Github) - 8.1 (Alto)

ID CVE: CVE-2022-46153

Traefik è un moderno reverse proxy HTTP e bilanciatore di carico. Si integra con i componenti dell'infrastruttura esistenti (Docker, modalità Swarm, Kubernetes, Marathon, Consul, Etcd, Rancher, Amazon ECS) e si configura automaticamente e dinamicamente. 

Nelle versioni interessate, esiste una potenziale vulnerabilità nella gestione delle connessioni TLS da parte di Traefik. Un router configurato con una TLSOption non ben formattata viene esposto con una TLSOption vuota. Ad esempio, un percorso protetto utilizzando una connessione mTLS impostata con un file CA errato viene esposto senza verificare i certificati del client. Si consiglia agli utenti di aggiornare alla versione 2.9.6. 

Patch: https://github.com/traefik/traefik/releases/tag/v2.9.6

Gli utenti che non sono in grado di eseguire l'aggiornamento devono controllare i propri registri per individuare i seguenti messaggi di errore e correggere direttamente le opzioni TLS:

CA vuoto:

{"level":"error","msg":"invalid clientAuthType: RequireAndVerifyClientCert, CAFiles is required","routerName":"Router0@file"}

Contenuto CA errato (o percorso errato):

{"level":"error","msg":"invalid certificate(s) content","routerName":"Router0@file"}

Tipo di autorizzazione del cliente sconosciuto:

{"level":"error","msg":"unknown client auth type \"FooClientAuthType\"","routerName":"Router0@file"}

Cifre non valide: 

{"level":"error","msg":"invalid CipherSuite: foobar","routerName":"Router0@file"}

CurvaPreferenze non valida:

{"level":"error","msg":"invalid CurveID in curvePreferences: foobar","routerName":"Router0@file"}

Casualità debole in Webcrypto Keygen su NodeJS

CWE-338: Uso di un generatore di numeri pseudorandom crittograficamente debole (PRNG). Il prodotto utilizza un generatore di numeri pseudorandom (PRNG) in un contesto di sicurezza, ma l'algoritmo del PRNG non è crittograficamente forte.

CVSSv3.1: NIST - 9.1 (Critico) | ID CVE: CVE-2022-35255

Una vulnerabilità introdotta in NodeJS v15.0.0 è stata scoperta da un collaboratore di HackerOne in cui https://github.com/nodejs/node/pull/35093 introduceva una chiamata a EntropySource() in SecretKeyGenTraits::DoKeyGen() in src/crypto/crypto_keygen.cc. Il problema è duplice:

1. Node.js ha effettuato chiamate a EntropySource() in SecretKeyGenTraits::DoKeyGen(). Tuttavia, non controlla il valore di ritorno e presume che EntropySource() abbia sempre successo, ma può fallire e talvolta fallisce.
2. I dati casuali restituiti daEntropySource() potrebbero non essere forti dal punto di vista crittografico e quindi non adatti come materiale di cifratura.

Nel complesso, questa falla consente a un attaccante remoto di decifrare informazioni sensibili.

Patch: https://nodejs.org/en/blog/vulnerability/september-2022-security-releases/#weak-randomness-in-webcrypto-keygen-high-cve-2022-35255