В системе Fedora Account System (FAS), используемой для авторизации и организации входа разработчиков Fedora в различные web-сервисы проекта, в том числе в репозитории git и Bugzilla, выявлена проблема с безопасностью (CVE-2016-1000038), позволяющая без авторизации выполнить HTTP-запрос от имени любого пользователя инфраструктуры. Уязвимость связана с логической ошибкой в коде, из-за которой web-приложение FAS может принять некорректный поддельный клиентский сертификат. При установке заголовка X-Client-Verify осуществлялось копирование логина из заголовка X-Client-CN, выставлялся флаг успешной авторизации и пропускалась стадия проверки пароля. Проблема решена в свежем выпуске FAS путём удаления кода поддержки авторизации по клиентским сертификатам, который выглядел скорее как заглушка, чем работающий код. При отправке запроса от имени участника проекта Fedora, имеющего высокий уровень доступа, атакующий мог добавить, отредактировать или удалить параметры учетной записи пользователя и ... Читать дальше »