Arvin Shivram

تسمح مشكلة تتعلق بنقص في التفويض في إحدى عمليات واجهة برمجة التطبيقات (API) الخاصة بـ GraphQL ضمن قسم Google App Engine في Cloud Console لمهاجم بعيد غير مصدق الهوية بتسريب سجلات طلبات App Engine الحساسة من مشاريع أخرى عن طريق إرسال طلب مصمم خصيصًا لهذا الغرض.

تسمح ضوابط الوصول غير السليمة في العديد من نقاط نهاية واجهة برمجة التطبيقات (API) الداخلية لمهاجم عن بُعد غير مصدق الهوية بالكشف عن معلومات داخلية حساسة وتنفيذ تعليمات برمجية تعسفية. ويتم ذلك عن طريق إرسال طلبات HTTP مصممة خصيصًا إلى نقاط نهاية واجهة برمجة التطبيقات (API) الداخلية التي تم الكشف عنها عن غير قصد. تتعلق المشكلة بنقاط نهاية التصحيح التي تسمح بتكوين سير عمل مميز، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE)، وهي القدرة على تنفيذ أوامر تعسفية على الجهاز المستهدف.

يوجد ثغرة في تجاوز المصادقة في مسار الكود `STREAMING-UNSIGNED-PAYLOAD-TRAILER`. يمكن للمهاجم الذي يمتلك مفتاح وصول صالحًا كتابة كائنات عشوائية إلى أي دلو (bucket) دون الحاجة إلى مفتاح سري أو توقيع تشفير صالح. تحدث هذه المشكلة لأن `PutObjectHandler` و`PutObjectPartHandler` يستخدمان `newUnsignedV4ChunkedReader` مع بوابة التحقق من التوقيع التي تعتمد فقط على رأس `Authorization`. وفي الوقت نفسه، تقبل دالة `isPutActionAllowed` بيانات الاعتماد إما من رأس `Authorization` أو من معلمة الاستعلام `X-Amz-Credential`. ومن خلال حذف رأس `Authorization` وتوفير بيانات الاعتماد عبر سلسلة الاستعلام، يتم تجاوز بوابة التوقيع، وتتم معالجة الطلب باستخدام أذونات مفتاح الوصول الذي تم انتحال هويته. ويؤثر هذا على مسارات الحاويات القياسية وحاويات الجداول/المستودعات، بالإضافة إلى عمليات التحميل متعددة الأجزاء.

يوجد ثغرة لتجاوز المصادقة في معالج الاستخراج التلقائي لـ Snowball `PutObjectExtractHandler`. تسمح هذه المشكلة للمستخدم الذي يمتلك مفتاح وصول صالحًا بكتابة كائنات عشوائية إلى أي دلو دون تقديم مفتاح سري أو توقيع تشفير صالح. تحدث هذه الثغرة لأن كتلة `switch rAuthType` في المعالج تفتقر إلى حالة لـ `authTypeStreamingUnsignedTrailer`، مما يتسبب في تجاوز عملية التحقق من التوقيع أثناء التنفيذ. يمكن للمهاجم استغلال هذه الثغرة عن طريق إرسال طلب PUT مع تعيين الرأس `X-Amz-Content-Sha256` إلى `STREAMING-UNSIGNED-PAYLOAD-TRAILER`، وتعيين الرأس `X-Amz-Meta-Snowball-Auto-Extract` إلى `true`، ورأس `Authorization` يحتوي على مفتاح وصول صالح مع توقيع مزور.