CVE-2021-32570

Um grupo de usuários AMOS no Ericsson Network Manager pode ler arquivos de log sob um caminho compartilhado, e esses logs contêm informação suficiente para ajudar um deles a escalar privilégios. A causa raiz é dado sensível parando em arquivos de log que um grupo de autorização par consegue alcançar. Este não é um problema de agente externo — é um problema de insider ou de movimentação lateral, em que alguém já dentro do sistema minera logs em busca de material que o eleve acima de seu nível designado.

A descrição é franca quanto à pré-condição: todo usuário AMOS já é uma conta altamente privilegiada e avalizada pelo administrador de segurança. Portanto, a população que pode explorar isso é pequena, confiável e nominal. É por isso que a pontuação fica em média, e não alta — a falha é real, mas pressupõe um usuário privilegiado autorizado agindo de má-fé ou tendo a conta comprometida. É uma falha de defesa em profundidade, não um vetor de invasão, e o impacto é a confidencialidade do conteúdo dos logs, que então auxilia a escalada.

Nosso enquadramento é priorizá-la abaixo de seu valor nominal e encaixá-la no trabalho de risco de insider e de menor privilégio, em vez de aplicação emergencial de patches. Onde o ENM abaixo da 21.2 estiver em uso, a registraríamos como uma fraqueza de separação de privilégios que vale a pena fechar na cadência normal de manutenção, combinando-a com o monitoramento de quem está lendo esses caminhos de log. As pessoas que podem abusar dela já estão registradas e autorizadas, o que torna a detecção mais viável do que a prevenção neste caso.