Hugo Baraúna

توجد مشكلة تزوير الطلبات عبر المواقع (CSRF) عندما يتم تكوين Livebook لاستخدام Livebook Teams للتعريف. تقوم الدالة `handle request/4` الموجودة في `lib/livebook/zta/livebook teams.ex` بمعالجة عمليات الاستدعاء المرتدة من نوع OAuth التي تحتوي على علامة `teams identity` ومعلمة `code`. ونظرًا لأن الدالة `create auth request/1` الموجودة في `lib/livebook/teams/requests.ex` لا تولد حالة (state) أو رقم عشوائي (nonce)، يفشل النظام في التحقق مما إذا كانت عملية الاستدعاء المرتدة تتوافق مع الجلسة التي بدأت عملية تسجيل الدخول. يمكن للمهاجم داخل نفس مؤسسة Livebook Teams بدء عملية تسجيل الدخول، والتقاط رمز التفويض، وخداع الضحية لفتح رابط URL يحتوي على هذا الرمز. يؤدي هذا إلى ربط جلسة عمل الضحية بهوية المهاجم. ونتيجة لذلك، تُنسب أي أعمال أو أسرار أو بيانات أنتجها الضحية إلى المهاجم ويصبح بإمكانه الوصول إليها، بينما يعتقد الضحية أنه يستخدم حسابه الخاص.

تسمح مشكلة مفتوحة لم يتم حلها في Livebook لعميل شبكة غير مصدق عليه بالحصول على وصول كامل إلى خادم يفرض المصادقة عبر Livebook Teams. يحدث هذا عندما يقوم وكيل Livebook أو خادم التطبيق بتخزين معرف مجموعة النشر مؤقتًا في ذاكرة التخزين المؤقتة، ويصبح هذا المعرف غير قابل للحل، مثلما يحدث عند حذف المجموعة أثناء انقطاع اتصال الوكيل. تفشل الدالة `handle call/3` الموجودة في `lib/livebook/hubs/team client.ex` في التمييز بين المجموعة غير القابلة للحل والمجموعة التي تم تعطيل فرض الهوية فيها، مما يؤدي إلى قيام النظام بالإبلاغ عن أن فرض الهوية معطل. ونتيجة لذلك، تُرجع الدالة `authenticate/3` الموجودة في `lib/livebook/zta/livebook teams.ex` بيانات تعريف هوية فارغة، والتي تقوم الدالة `build current user/3` في `LivebookWeb.UserPlug` بدمجها في مستخدم جديد يتمتع بحق الوصول الكامل الافتراضي. ثم يتم منح هذا المستخدم حق الوصول بواسطة الدالة `authorized?/1` في `LivebookWeb.AuthPlug`. يمكن للمهاجم استغلال هذه الثغرة لقراءة دفاتر الملاحظات والأسرار، وتنفيذ التعليمات البرمجية على بيئة تشغيل الخادم، وتعطيل العمليات.