Er is een kritieke kwetsbaarheid ontdekt in de Rucio componenten (rucio-server, rucio-ui, en rucio-webui) die kan leiden tot de onbedoelde blootstelling van gevoelige informatie in apache toegangslogbestanden. Dit betreft het `X-Rucio-Auth-Token`, dat gevoelig is voor blootstelling door inadequate logformattering.
Overzicht
Rucio, een framework voor het beheer van grote hoeveelheden wetenschappelijke data, heeft een kwetsbaarheid waarbij het `X-Rucio-Auth-Token` wordt opgenomen in apache toegangslogbestanden. Dit token kan gevoelige informatie bevatten, zoals interne Rucio tokens of JWT tokens (bij OIDC authenticatie). Hoewel tokens vaak worden afgebroken in de logs vanwege hun lengte, blijft de (gedeeltelijke) blootstelling van deze tokens een risico, vooral als logbestanden toegankelijk zijn voor anderen dan de systeembeheerders.
Aanbevelingen
- Update naar de laatste gepatchte versies: rucio-server 37.0.2, 35.0.1, en 32.0.1; rucio-ui 37.0.4, 35.0.1, en 32.0.2; en rucio-webui 37.0.2, 35.1.1, en 32.0.1.
- Pas de `logFormat` variabele aan door het `X-Rucio-Auth-Token` te verwijderen om verdere blootstelling te voorkomen.
Bronnen
Meer informatie over deze kwetsbaarheid is te vinden op de GitHub adviespagina.
Vraag en Antwoord
Wat is CVE-2025-54064?
Dit is een kwetsbaarheid in de Rucio componenten die leidt tot de blootstelling van gevoelige token informatie in logbestanden.
Welke systemen zijn kwetsbaar voor CVE-2025-54064?
Kwetsbare systemen omvatten versies van rucio-server, rucio-ui, en rucio-webui zoals hieronder opgesomd:
rucio-server < 32.0.1 en >= 33.0.0 < 35.0.1 en >= 36.0.0 < 37.0.2 rucio-ui < 32.0.2 en >= 33.0.0 < 35.1.1 en >= 36.0.0 < 37.0.4 rucio-webui < 32.0.1 en >= 33.0.0 < 35.1.1 en >= 36.0.0 < 37.0.2
Bestaat er al een patch of beveiligingsupdate?
Ja, er zijn gepatchte releases beschikbaar voor de getroffen componenten.
Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan gedeeltelijke toegang krijgen tot gevoelige authenticatietokens, wat een risico vormt als logs toegankelijk zijn voor onbevoegden.
