Diverese Privilegieneskalationslücken in Atos Eviden IDPKI veröffentlicht

Eviden PSIRT hat ein Sicherheitsbulletin veröffentlicht, in dem drei Privilegieneskalationslücken in der IDPKI-Implementierung aufgezeigt werden. Die Schwachstellen, dokumentiert als CVE-2024-39327, CVE-2024-39328 und CVE-2024-51505, erlauben es einem internen Benutzer mit hohen Rechten, seine Befugnisse zu überschreiten und auf vertrauliche interne Daten zuzugreifen – ohne dabei jedoch den privaten Schlüssel der Zertifizierungsstelle zu gefährden. Die Sicherheitslücken werden als kritisch eingestuft und sollten umgehend gepatcht werden.

Die Analyse ergab, dass die Schwachstellen durch mangelhafte Überprüfungen interner Kommunikationsprozesse und eine Race Condition in der Systemlogik verursacht wurden. Dank eines zeitnahen Patch-Prozesses wurden die Fehler in den betroffenen Produkten behoben. Anwender von IDPKI-Produkten sollten die neuesten Updates (IDRA Version 2.7.1 oder höher) unverzüglich installieren und, sofern möglich, die Konfiguration der hoch privilegierten Rollen weiter einschränken.