Harish Kolla

في عمليات النشر التي تم تكوينها مع عدة مؤسسات، يمكن لمسؤول مؤسسة واحدة الوصول إلى بيانات الأذونات الخاصة بالمؤسسات الأخرى. يحدث هذا عند استدعاء نقطة النهاية ’GET /api/access-control/users/permissions/search‘ باستخدام المعلمة `actionPrefix` المضبوطة على ’dashboards:‘. تقتصر المعلومات المكشوفة على معرّفات لوحات المعلومات والمجلدات (UIDs) وتعيينات الأذونات أو نطاقات كل مستخدم. لا تؤدي هذه المشكلة إلى الكشف عن محتويات لوحات المعلومات أو الألواح أو نتائج الاستعلامات أو بيانات اعتماد مصادر البيانات أو الأسرار أو البيانات الشخصية.

يتم تدوين البيانات الحساسة، بما في ذلك قيم المتغيرات ومحتويات `extra` الخاصة بالاتصالات، في سجل التدقيق بنص عادي عند إرسالها عبر نقاط النهاية الجماعية `PATCH /api/v2/variables` و`PATCH /api/v2/connections`. يحدث هذا لأن آلية إخفاء سجل التدقيق لا تتعرف إلا على حقول الطلبات ذات المستوى الأعلى، في حين أن الطلبات المجمعة تضم كيانات متداخلة على مستويين أعمق، مما يتجاوز عملية الإخفاء. ونتيجة لذلك، يمكن لأي مستخدم تمت مصادقته ولديه حق الوصول لقراءة سجل التدقيق استرداد هذه الأسرار، حتى لو لم تكن لديه أذونات محددة لقراءة المتغيرات أو الاتصالات. بالإضافة إلى ذلك، يتم تخزين البيانات «الإضافية» (extra) الخاصة بالاتصال دون تشفير في السجل، على الرغم من تشفيرها في جدول الاتصالات. وتحدث هذه المشكلة أيضًا بسبب إجراء «استيراد المتغيرات» (Import Variables) في واجهة مستخدم Airflow.

يوجد عيب في نظام التفويض في واجهة برمجة تطبيقات Backfill، حيث يؤدي تباين في طريقة تحليل جزء المسار `backfill id` إلى السماح لمستخدم مصادق عليه يتمتع بأذونات تعديل على أي DAG واحد بتنفيذ إجراءات غير مصرح بها على DAGs أخرى. تستخدم التبعية الخاصة بالتفويض دالة `int()` للتحليل، في حين يستخدم معالج المسار دالة `NonNegativeInt` من مكتبة pydantic، والتي تقبل القيم التي ترفضها دالة `int()` (على سبيل المثال، يتم تحويل القيمة `1.0` إلى `1`). ونظرًا لأن FastAPI تحل التبعيات قبل التحقق من صحة نقطة النهاية، فإن فحص التفويض والعملية الفعلية يتم تنفيذهما على Dags مختلفة. وهذا يسمح للمستخدمين بقراءة عمليات «backfill» الخاصة بـ Dags الأخرى وإيقافها مؤقتًا وإلغائها، أو نقل عمليات التشغيل الموجودة في قائمة الانتظار إلى حالة «فشل». ونظرًا لأن معرّفات «backfill» متسلسلة، فإن تحديد الأهداف أمر سهل للغاية.

توجد ثغرة تسمح للمهاجمين غير المصادق عليهم بكتابة ملفات عشوائية في أي دليل على نظام ملفات المضيف. ويحدث ذلك خلال فترة الإعداد الأولي عند تحميل أرشيف نسخ احتياطي مُعد خصيصًا. من خلال التلاعب بحقل `name` داخل ملف `backup.json` الموجود في الأرشيف لتوفير مسار مطلق، تتجاهل الدالة `pathlib.Path. truediv ` بادئة دليل النسخ الاحتياطي المقصودة. ويؤدي ذلك إلى كتابة محتوى يتحكم فيه المهاجم إلى مواقع عشوائية، مما يمنحه وصولاً كاملاً إلى نظام الملفات إذا كانت العملية تعمل بصفتها الجذر. ويُعد «عبور المسار» تقنية تُستخدم للوصول إلى الملفات والدلائل المخزنة خارج مجلد جذر الويب.

توجد مشكلة في البرمجة النصية عبر المواقع (XSS) في دالة `async get media image()` الخاصة بتكامل Shelly. يمكن للمهاجم الذي يتحكم في حقل `thumb` بجهاز Shelly تقديم محتوى HTML تعسفي عن طريق توفير عنوان URI للبيانات بنوع محتوى `text/html`، حيث يفشل النظام في التحقق من صحة المدخلات مقابل قائمة السماح المخصصة للصور فقط. وهذا يسمح لنقطة نهاية وكيل مشغل الوسائط بتقديم بايتات يتحكم فيها المهاجم بنوع المحتوى `text/html` ضمن مصدر الويب الخاص بـ Home Assistant. ونتيجة لذلك، قد يؤدي هذا إلى سرقة رموز الجلسة من التخزين المحلي وتنفيذ مكالمات مصادق عليها إلى نقاط نهاية الخدمات الحساسة، مثل تلك التي تتحكم في الأقفال وأجهزة الإنذار والأغطية.

توجد مشكلة تتعلق بكشف بيانات الاعتماد، حيث يمكن لملفات dotenv الخاصة بمساحة العمل أن تتجاوز بيانات اعتماد المزود. وهذا يتيح للمهاجمين الذين يتمتعون بوصول ذي ثقة أقل إلى مسارات الإدخال المُعدة مسبقًا الكشف عن البيانات الحساسة وبيانات الاعتماد التي من المفترض أن تظل ضمن الحدود الموثوقة.

توجد مشكلة تتعلق باجتياز المسار في وظيفة النسخ الاحتياطي والاستعادة. يمكن للمهاجم كتابة ملفات إلى مسارات مطلقة عشوائية في نظام الملفات من خلال توفير أرشيف tar مصمم خصيصًا لهذا الغرض. ويتم تحقيق ذلك باستخدام إدخال SYMTYPE يربط اسم عنصر غير ضار باسم رابط مطلق يشير إلى خارج دليل الاستخراج. ونظرًا لأن صورة Docker الرسمية تُنفِّذ عملية Home Assistant بصفتها الجذر (root)، فإن إدخال الملف العادي اللاحق يُكتَب عبر الرابط الرمزي غير المُثبَّت صحةً. وقد يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد عن طريق الكتابة فوق مسارات Python التي يتم استيرادها تلقائيًّا، مثل `site-packages/sitecustomize.py`، أو دلائل المكونات المخصصة.