NATS-Server — это высокопроизводительный сервер для NATS.io, собственной облачной и периферийной системы обмена сообщениями. До версий 2.11.15 и 2.12.6 при использовании mTLS для идентификации клиента с `verify_and_map` для получения идентификатора NATS из DN субъекта сертификата клиента некоторые шаблоны RDN не применялись правильно, что позволяло обойти аутентификацию. Для этого требуется действительный сертификат от центра сертификации, которому уже доверяют клиентские сертификаты, а также шаблоны именования DN, которые специалисты по обслуживанию NATS считают крайне маловероятными.
Так что это маловероятное нападение. Тем не менее, администраторы, которые очень хорошо разбираются в шаблонах построения DN, вполне могут пострадать. Версии 2.11.15 и 2.12.6 содержат исправление.
В качестве обходного пути разработчикам следует пересмотреть свою практику выпуска сертификатов сертификации.
Показать оригинальное описание (EN)
NATS-Server is a High-Performance server for NATS.io, a cloud and edge native messaging system. Prior to versions 2.11.15 and 2.12.6, when using mTLS for client identity, with `verify_and_map` to derive a NATS identity from the client certificate's Subject DN, certain patterns of RDN would not be correctly enforced, allowing for authentication bypass. This does require a valid certificate from a CA already trusted for client certificates, and `DN` naming patterns which the NATS maintainers consider highly unlikely. So this is an unlikely attack. Nonetheless, administrators who have been very sophisticated in their `DN` construction patterns might conceivably be impacted. Versions 2.11.15 and 2.12.6 contain a fix. As a workaround, developers should review their CA issuing practices.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 2
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Linuxfoundation Nats-Server
cpe:2.3:a:linuxfoundation:nats-server:*:*:*:*:*:*:*:*
|
— |
2.11.15
|
|
Linuxfoundation Nats-Server
cpe:2.3:a:linuxfoundation:nats-server:*:*:*:*:*:*:*:*
|
2.12.0
|
2.12.6
|