CVE-2021-42562: MITRE Caldera における不適切なアクセス制御

Caldera (バージョン <=2.8.1) はユーザー権限を適切に分離しておらず、その結果、管理者以外のユーザーが管理者ユーザーのみがアクセスできるはずの設定やその他のコンポーネントを読み取り・変更できるようになっています。

ベンダー開示:

この脆弱性に関するベンダーの開示はこちらで確認できます。

要件:

この脆弱性には以下が必要です:

• 有効な非管理者ユーザーの資格情報

概念実証:

詳細と悪用プロセスは、このPDFに記載されています。

追加リソース:

この脆弱性により、非管理者ユーザーはCVE-2021-42559: MITRE Caldera の設定を介したコマンドインジェクションを悪用して、リモートコード実行を達成できます。