CVE-2023-32311: Bypass di Autorizzazione in CloudExplorer Lite

Il CVE-2023-32311 descrive un bypass dei controlli di autorizzazione in CloudExplorer Lite, una piattaforma open source per la gestione del cloud. La vulnerabilità consente a utenti non autorizzati di aggiungersi a qualsiasi organizzazione bypassando le verifiche di permesso. In ambienti multi-tenant questa falla compromette il principio di segregazione tra tenant, consentendo accesso incontrollato a risorse altrui.

La vulnerabilità è classificata con CVSS 7,1 (High). Il fix è stato disponibile dal maggio 2023 nella versione 1.1.0. Tuttavia un segnale GitHub contemporaneo senza descrizione suggerisce un ritorno di interesse verso questa vulnerabilità dopo tre anni, potenzialmente indicando pubblicazione di exploit o rinascita dell'attenzione della comunità di ricerca.

Gli amministratori che gestiscono istanze di CloudExplorer Lite devono verificare immediatamente la versione installata e aggiornare a v1.1.0 o successive. Si consiglia inoltre di esaminare i log di accesso alle organizzazioni dal maggio 2023 per identificare potenziali aggiunte non autorizzate. Non esistono contromisure alternative al patching.