Aphuongkma

يمكن للمهاجمين المصادق عليهم الذين تم تمكين `allow run as` لهم التسبب في رفض الخدمة عن طريق استنفاد موارد وحدة المعالجة المركزية (CPU). يحدث هذا عند إرسال هياكل JSON متداخلة بعمق تعسفي إلى نقطة النهاية ’POST /security/user/authenticate/run as‘. من خلال الإرسال المتكرر لنصوص `auth context` مشوهة ذات عمق تداخل غير محدود، يستهلك إطار عمل واجهة برمجة التطبيقات (API) قدرًا مفرطًا من موارد وحدة المعالجة المركزية (CPU)، مما يؤدي إلى رفض الخدمة لمستخدمي واجهة برمجة التطبيقات (API) الآخرين.

تقوم الدالة `ToHook()` الموجودة في ملف `services/webhook/general.go` بفك تشفير الحقل `HeaderAuthorizationEncrypted` وإرجاع رأس التفويض بالنص العادي في استجابة واجهة برمجة التطبيقات (API). وهذا يسمح لمسؤولي المستودعات بقراءة بيانات الاعتماد الحساسة، مثل رموز Bearer وبيانات اعتماد المصادقة الأساسية ومفاتيح واجهة برمجة التطبيقات (API)، التي تم تعيينها من قبل مسؤولين آخرين. تحدث هذه المشكلة لأن الدالة تقوم بفك تشفير السر المخزن في قاعدة البيانات باستخدام `SecretKey` الخاص بالخادم قبل تسلسله في الاستجابة، مما يؤدي فعليًّا إلى تحويل سر مخصص للكتابة فقط إلى بيانات اعتماد قابلة للقراءة.