Łukasz Bawolski

تسمح آلية التحكم في الوصول غير السليمة في وظيفة التعليقات التوضيحية للمستخدمين المصادق عليهم بإنشاء التعليقات التوضيحية ونشرها دون إذن. تقوم واجهات برمجة التطبيقات (API) ’addAnnotation‘ و'listAnnotation' بإجراء فحص للملكية عند تحديد معرّف UUID للكيان، لكنها لا تلتزم بالنتيجة بشكل صحيح. ونتيجة لذلك، يمكن لأي مستخدم مصادق عليه كتابة تعليقات توضيحية أو عرض التعليقات التوضيحية الموجودة على كيان لا يملكه من خلال توفير معرّف UUID الخاص به.

توجد مشكلة تتعلق بحقن أوامر نظام التشغيل في المكون الإضافي لمزود النسخ الاحتياطي NAS. تقبل نقاط نهاية واجهة برمجة التطبيقات (API) ’addBackupRepository‘ و'updateBackupRepository' خيارات أوامر غير معقمة لمستودع النسخ الاحتياطي. يمكن لحساب مشغل ضار استغلال ذلك لحقن أوامر عشوائية يتم تنفيذها على مضيف برنامج KVM hypervisor عند إجراء استعادة للنسخة الاحتياطية بواسطة أي حساب.

يمكن للمستأجر المصادق عليه تنفيذ تزوير الطلب من جانب الخادم (SSRF) عن طريق تسجيل قالب يشير إلى ملف metalink ضار يحتوي على أهداف داخلية، مما يسمح لآلة افتراضية للتخزين الثانوي باسترداد هذه البيانات والاحتفاظ بها. بالإضافة إلى ذلك، يمكن للمستأجر الذي يتمتع بدور المستخدم الافتراضي تنفيذ التعليمات البرمجية عن بُعد (RCE) بصفته الجذر على مضيف برنامج KVM hypervisor. يحدث هذا عندما يقوم مستخدم بتسجيل قالب آلة افتراضية مع تعيين المتغير `directDownload` على القيمة «true» وعنوان URL يشير إلى ملف .metalink؛ حيث يقوم خادم الإدارة بجلب ملف XML وإرسال عملية التنزيل إلى وكيل KVM دون إعادة التحقق من صحة عناوين URL الداخلية مقابل قائمة المواقع المسموح بها.

تسمح مشكلة في المكون الإضافي لمصادقة LDAP للمستخدمين المصادق عليهم بالوصول إلى معلومات حساسة أثناء عرض قائمة بموفري LDAP. يمكن لأي مستخدم لديه حق الوصول إلى واجهة برمجة التطبيقات (API) ’listLdapConfigurations‘، المتاحة لجميع الأدوار الافتراضية بشكل افتراضي، عرض قائمة بتكوينات LDAP.

يحدث ترميز أو تهريب غير صحيح للمخرجات في واجهة المستخدم عند استخدام وظيفة إعادة تعيين كلمة مرور المثيل (Instance Reset Password). ويؤدي ذلك إلى مشكلة البرمجة النصية عبر المواقع (XSS)، حيث يمكن إدخال نصوص برمجية ضارة في صفحات الويب التي يشاهدها مستخدمون آخرون.

يحدث حقن الأوامر في وظائف التشغيل والحصول على التشخيصات الخاصة بالآلات الافتراضية للنظام والموجهات الافتراضية. يمكن للمستخدم المصادق عليه الذي يمتلك الأذونات اللازمة تنفيذ أوامر عشوائية على مثيلات الآلات الافتراضية للنظام والموجهات الافتراضية، حيث يعمل كجذر أو كمستخدم عملية التشخيص. قد يؤدي ذلك إلى اختراق كامل للمثيل وربما يسمح بالتحرك الجانبي داخل البنية التحتية المدارة، بما في ذلك الوصول إلى حركة مرور شبكة الضيف. نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة هي `getDiagnosticsData` و`runDiagnostics`، والتي تقتصر على حسابات دور «Admin» بشكل افتراضي.

تسمح مشكلة في وحدة Webhook بتعريض المعلومات الحساسة لأطراف غير مصرح لها أثناء عملية إدراج عمليات التسليم وحذفها.

تتأثر لوحة إدارة كاميرا Kenik بمشكلة تجاوز المسار. وهذا يسمح لمهاجم غير مصدق بإرسال طلب GET يحتوي على مسار ملف تعسفي لقراءة الملفات المخزنة على الخادم. تجاوز المسار هو عيب يسمح للمهاجمين بالوصول إلى الملفات والدلائل المخزنة خارج مجلد جذر الويب.