Se ha identificado una vulnerabilidad crítica en el Open Policy Agent (OPA), herramienta desarrollada por Styra. Esta falla se identifica como CVE-2024-8260 y afecta a todas las versiones de OPA para Windows anteriores a la 0.68.0.
Características técnicas de la vulnerabilidad
El problema surge debido a una validación incorrecta de las entradas, lo que permite que un atacante pase un recurso SMB arbitrario en lugar de un archivo Rego como argumento para la interfaz de comandos OPA o funciones Go.
Riesgos asociados
La vulnerabilidad expone a los usuarios a un ataque de autenticación forzada (force-authentication). Esta falla permite que un atacante obtenga credenciales de Windows mediante un proceso de captura y reproducción de autenticación (CWE-294).
Impacto en las versiones de OPA
La vulnerabilidad afecta tanto a la versión básica de OPA como a la plataforma empresarial de Styra, conocida como Enterprise OPA Platform. Esta falla permite a un atacante eludir las políticas de autorización establecidas, facilitando el acceso no autorizado a los recursos protegidos por OPA.
Calificación y mitigación
La vulnerabilidad tiene una puntuación de 7.3 en el Sistema de Puntuación de Vulnerabilidades Comunes (CVSS) versión 3.1. Styra ha lanzado un parche para mitigar esta vulnerabilidad y recomienda a todos los usuarios actualizar sus sistemas a la versión 0.68.0 o posterior.
Recomendaciones de seguridad
- Actualizar los sistemas a la versión 0.68.0 o posterior de OPA.
- Utilizar escaneos de dependencias para verificar que todos los componentes de código abierto utilizados en los proyectos no contengan vulnerabilidades conocidas.