インフラアクセス管理ツール「Teleport」に複数の脆弱性

サーバやクラウドアプリケーションに対する一元的なアクセス認証や監査機能を提供する「Teleport」に複数の脆弱性が明らかとなった。「クリティカル（Critical）」とされる脆弱性も含まれる。

低いアクセス権限を持つ利用者によって、プロキシやエージェント経由で任意のホストに対して「サーバサイドリクエストフォージェリ（SSRF）」を行うことができる脆弱性が判明した。CVE番号は不明でGitHubでは識別子「GHSA-hw4x-mcx5-9q36」が割り当てられている。

また「同14」で導入されたアクセスリストの機能において権限昇格が可能となる脆弱性「GHSA-76cc-p55w-63g3」が明らかとなった。

これら2件の脆弱性については、重要度が4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

さらにクラスター内のノードにアクセスできる場合、「SFTP」による接続が可能となる「GHSA-c9v7-wmwj-vf6x」や、「macOS」のエージェントにおいてユーザーが指定した環境変数によって予期しないコードを実行される「GHSA-vfxf-76hv-v4w4」など、重要度が「高（High）」とされる脆弱性2件についても明らかとなった。

「同14.2.4」「同13.4.13」「同12.4.31」にて脆弱性を修正。これらを反映した「同14.3.0」「同13.4.14」「同12.4.32」が提供されている。

（Security NEXT - 2024/01/05 ）ツイート

インフラアクセス管理ツール「Teleport」に複数の脆弱性

関連リンク

PR

関連記事