CVE-2024-6508
Publiée le 2024-08-21 · Dernière modification le 2026-08-11
La console OpenShift est affectée par une faille dans la gestion des états d'authentification OAuth2. Un attaquant peut inciter un utilisateur connecté à lier sa session à un compte tiers, accordant ainsi à l'attaquant un accès complet au compte d'application de la victime. Cela nécessite un accès réseau ainsi qu'une interaction spécifique de l'utilisateur, bien que l'exécution soit difficile en raison de la complexité de l'attaque.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An insufficient entropy vulnerability was found in the Openshift Console. In the authorization code type and implicit grant type, the OAuth2 protocol is vulnerable to a Cross-Site Request Forgery (CSRF) attack if the state parameter is used inefficiently. This flaw allows logging into the victim’s current application account using a third-party account without any restrictions.