Asadbek Fatullayev

A denial of service issue allows unauthenticated remote attackers to crash the ION process. This occurs when a BPv7 bundle with a zero-length payload is sent. Specifically, the `canonicalizePayloadBlock()` function in bpsec util.c passes the `bundle->payload.length` variable to `zco clone()` without validating if it is zero. This leads to a failed CHKZERO assertion, which triggers `sm Abort()` and terminates the process with SIGABRT. This process happens before any HMAC (Hash-based Message Authentication Code, a mechanism for verifying both the data integrity and the authenticity of a message) verification, meaning no valid keys or credentials are required for exploitation.

An authentication bypass exists that allows unauthenticated attackers to access protected resources. By providing an attacker-controlled URL parameter to the share-link authentication endpoint, the expected resource identifier is omitted from the token verification call. An attacker with a single valid share link for any resource can authenticate against arbitrary resources across different organizations, bypassing SSO, resource passwords, PIN codes, email allowlists, and header authentication.

تقوم نقطة النهاية POST ’/common/load-related-data‘ بتحويل أسماء الحقول التي يزودها المتصل إلى أي عمود @TableField في أي كيان، وتُرجع تلك القيم لجميع الصفوف دون وجود قائمة مسموح بها للحقول أو الكيانات. تُرجع دالة الحماية الأمنية `relatedDataSecurityCheck()` القيمة «true» دون أي شروط، مما يسمح لأي مستخدم تمت مصادقته، بما في ذلك أولئك الذين لا يمتلكون أي أدوار، بقراءة الحقول السرية المُعلَّمة بـ @JsonIgnore، مثل `IamAccount.authSecret` و`IamAccount.secretSalt` لجميع الحسابات، أو أي حقول سرية أخرى عشوائية. نظرًا لأن النظام يستخدم خوارزمية MD5 ذات التكرارين من Shiro مع ملح مكون من 8 أحرف، وهو ما يمكن اختراقه بسهولة في وضع عدم الاتصال بالإنترنت، فإن الكشف عن تجزئات كلمات مرور المسؤولين يمكن أن يؤدي إلى الاستيلاء الكامل على الصلاحيات الإدارية. هذه النقطة النهائية مطلوبة من قبل الواجهة الأمامية الرسمية diboot-admin-ui. في فرع التطوير، تم تغيير اسم هذه الآلية إلى attachMore*، لكن دالة `attachMoreSecurityCheck()` تُرجع أيضًا القيمة true دون شروط.

تفشل نقطة النهاية POST ’/download/uploadFromRsByLocal‘ في التحقق من صحة المعلمة `path`، التي يتم تمريرها مباشرةً إلى الدالتين `new File(path)` و`file.transferTo(dest)`. وهذا يسمح للمهاجم بكتابة ملفات عشوائية باستخدام حساب خدمة Dinky. نقطة النهاية مستثناة من معترض Sa-Token وتعتمد على قيمة `dinkyToken` مبرمجة ثابتًا للمصادقة، والتي يتم تضمينها مع كل عملية نشر. في تثبيتات Docker الافتراضية، يعمل التطبيق على المنفذ 8888 مع أذونات متساهلة على /opt/dinky، مما يتيح الكتابة فوق الأصول الثابتة ونصوص التشغيل ومسار فئات التطبيق. قد يؤدي ذلك إلى تنفيذ تعليمات برمجية تعسفية عبر إخفاء مسار الفئات (classpath-shadowing) عند إعادة تشغيل JVM التالية.

تحتوي الدالة `getAll()` في `SysConfigController` على تعليق توضيحي `@SaIgnore` على مستوى الأسلوب يتجاوز الفحص الأمني `@SaCheckLogin` على مستوى الفئة. وهذا يسمح للمتصلين عن بُعد غير المصادق عليهم بالوصول إلى نقطة النهاية `GET /api/sysConfig/getAll` دون التحقق من الجلسة أو الدور. ونتيجة لذلك، يتم الكشف عن تكوين النظام بالكامل، بما في ذلك بيانات الاعتماد الحساسة المكتوبة بنص عادي مثل `sys.env.settings.dinkyToken` و`sys.ldap.settings.userPassword` و`sys.resource.settings.oss.accessKey` و`sys.resource.settings.oss.secretKey` و`sys.dolphinscheduler.settings.token`. ويشمل هذا الكشف القيم الافتراضية المبرمجة بشكل ثابت في التثبيتات الجديدة وبيانات اعتماد الجهات الخارجية النشطة التي تم تكوينها بواسطة المشغلين. علاوة على ذلك، يؤدي الكشف عن `dinkyToken` إلى تعريض أمن نقطة النهاية `POST /download/uploadFromRsByLocal` للخطر.