CVE-2023-28619：bnayawpguy Resoto 中的 CWE-862 授权缺失漏洞
严重性： 中 类型： 漏洞 CVE： CVE-2023-28619
bnayawpguy Resoto 中的授权缺失漏洞允许攻击者利用配置不当的访问控制安全级别。此问题影响 Resoto 版本：从 n/a 至 1.0.8。
技术摘要
CVE-2023-28619 标识了 bnayawpguy Resoto 产品中的一个授权缺失漏洞（CWE-862），影响至 1.0.8 版本。Resoto 是一款旨在自动化云资产盘点和管理的云资源管理工具。该漏洞源于配置不当的访问控制安全级别，允许拥有一定权限级别（PR:L - 低权限）的攻击者执行超出其授权范围的操作。CVSS 3.1 基础评分为 4.3（中危），反映了攻击向量基于网络（AV:N），需要低权限（PR:L），无需用户交互（UI:N），并影响完整性（I:L）但不影响机密性或可用性。这意味着拥有系统部分访问权限的攻击者可以利用缺失的授权检查来修改他们本不应能修改的数据或配置，可能导致云资源管理中的未经授权更改。目前尚未发布补丁或修复程序，也未在野外观察到已知漏洞利用。该漏洞凸显了在云管理平台中实施适当访问控制的重要性，因为不当授权可能导致权限提升或影响云安全状况的未经授权配置更改。
潜在影响
对于欧洲组织而言，此漏洞的影响取决于他们使用 Resoto 进行云资源管理的情况。未经授权的云配置修改可能导致配置错误、敏感资源暴露或云服务中断。尽管机密性和可用性未直接受到影响，但完整性破坏可能引发更广泛的安全问题，例如在云环境中实现横向移动或权限提升。拥有关键云基础设施的组织，尤其是金融、医疗保健或政府等受监管行业的组织，如果未经授权的更改未被发现，可能面临合规风险。缺乏已知漏洞利用降低了即时风险，但存在授权缺失缺陷需要主动的风险管理。该漏洞也可能被用作多阶段攻击链的一部分，增加其潜在影响。严重依赖云自动化和管理工具的欧洲实体应优先进行评估和缓解，以维护云安全和合规性。
缓解建议
- 对 Resoto 部署中的访问控制策略和配置进行彻底审查，确保执行最小权限原则。
- 仅限受信任的管理员访问 Resoto 接口和 API，使用网络分段和强身份验证机制。
- 对 Resoto 管理的云资源配置中的异常或未经授权的更改实施持续监控和告警。
- 使用基于角色的访问控制（RBAC）根据工作职能严格限制用户能力。
- 在官方补丁发布之前，考虑部署补偿控制措施，例如针对关键更改的额外代理授权层或手动审批工作流。
- 密切关注供应商公告，一旦可用立即应用补丁。
- 对管理员进行有关不当访问控制风险和监控重要性的安全培训。
- 定期审计云资源清单和配置，以便及早发现未经授权的修改。
受影响国家
德国、法国、英国、荷兰、瑞典、芬兰、比利时
来源： CVE 数据库 V5 发布日期： 2025年12月24日 星期三
技术详情
- 数据版本： 5.2
- 分配者简称： Patchstack
- 保留日期： 2023-03-20T08:47:17.721Z
- Cvss 版本： 3.1
- 状态： 已发布
- 威胁 ID： 694be306279c98bf57efd5dd
- 添加到数据库： 2025年12月24日，下午12:56:38
- 最后丰富时间： 2025年12月24日，下午1:11:56
- 最后更新时间： 2025年12月25日，上午3:54:20
- 浏览次数： 9
供应商/项目： bnayawpguy 产品： Resoto 描述： bnayawpguy Resoto 中的授权缺失漏洞允许攻击者利用配置不当的访问控制安全级别。此问题影响 Resoto 版本：从 n/a 至 1.0.8。
AI 分析（最后更新： 2025年12月24日，13:11:56 UTC） 内容与技术摘要、潜在影响及缓解建议部分所述一致。