Proscan-One

يوجد خلل في التصريح في واجهة برمجة تطبيقات (API) عناوين العملاء، مما يسمح للمهاجمين غير المصرح لهم بإدارة عناوين عملاء آخرين. يمكن للمهاجمين الذين يعرفون `customer id` ومعرفات UUID الخاصة بالعناوين تنفيذ إجراءات غير مصرح بها عن طريق إرسال طلبات POST أو PATCH أو DELETE إلى نقطة النهاية '/api/customers/:customer id/addresses' لإضافة أو تعديل أو حذف عناوين الشحن المحفوظة.

استخدمت عملية التحقق من كلمة المرور في «shared-view» مقارنة «المساواة الصارمة» (===) لكلمات المرور القديمة المكتوبة بنص عادي. ويؤدي ذلك إلى ظهور «أوراكل التوقيت»، مما يسمح لمهاجم موجود على الشبكة بتسريب طول كلمة المرور والبادئة لكل حرف من خلال تحليل توقيت الاستجابة. تحدث المشكلة في ملف `View.ts` ودالة `verifyPassword()` في نموذج لوحة التحكم EE. ولا يتأثر فرع bcrypt، الذي يتعامل مع التجزئات التي تبدأ بـ `$2a$` أو `$2b$`.

توجد مشكلة في تنفيذ مزود الهوية LDAP حيث لا يتم إخفاء أسماء المستخدمين التي يقدمها المستخدمون بشكل صحيح قبل تضمينها في عوامل تصفية البحث في LDAP. وهذا يسمح للمهاجمين غير المصادق عليهم بتنفيذ حقن عامل تصفية LDAP أثناء عملية تسجيل الدخول. وباستخدام أحرف LDAP الخاصة مثل `*` و`(` و`)`، يمكن للمهاجم تنفيذ حقن LDAP أعمى. تتيح هذه التقنية التعداد المنهجي لأسماء المستخدمين الصالحة واستخراج بيانات السمات الحساسة من دليل LDAP المتصل من خلال تحليل استجابات النجاح أو الفشل. ولا يسمح ذلك بتجاوز المصادقة بالكامل.

تسمح مشكلات متعددة بتنفيذ التعليمات البرمجية. تعمل ثلاث استدعاءات غير آمنة لوظيفة `unserialize()` داخل `SchedulerJobQueue` و`FrameworkCacheAdapterFileCache` و`Session` على إزالة التسلسل عن البيانات غير الموثوق بها دون تقييد الفئات المسموح بها. وهذا يتيح حقن كائنات PHP، مما يسمح، من خلال سلسلة أدوات، بتنفيذ تعليمات برمجية تعسفية عندما يتحكم المهاجم في المدخلات المتسلسلة. بالإضافة إلى ذلك، تقوم الدالة `InstallCommand` بتنفيذ عملية استنساخ git (git clone) التي تمرر المعلمات `branch` و`url` و`path` إلى أمر شل (shell) دون إخفاء الأحرف الخطرة، مما يؤدي إلى حقن أوامر نظام التشغيل أثناء تثبيت المكونات الإضافية أو السمات للمستخدمين الذين يتمتعون بحقوق الوصول الإدارية. كما يمكن أيضًا حقن القوالب من جانب الخادم عبر تجاوز قائمة الحظر الأمنية لـ Twig.

يتضمن Portainer إعدادًا أمنيًا لتعطيل عمليات ربط التثبيت (bind mounts) للمستخدمين غير الإداريين، بهدف منع المستخدمين العاديين من ربط مسارات المضيف بالحاويات عبر واجهة برمجة تطبيقات Docker التي يتوسط فيها Portainer. ومع ذلك، فإن آلية التنفيذ كانت تفتش فقط مصفوفة `HostConfig.Binds` وتتجاهل المصفوفة المكافئة `HostConfig.Mounts`. ونظرًا لأن كلا الحقلين قابلان للتبادل في برنامج Docker الخفي، يمكن للمستخدم المصادق عليه الذي يتمتع بحقوق إنشاء الحاويات تجاوز هذا القيد عن طريق إرسال إدخال من النوع `bind` ضمن `HostConfig.Mounts` في نقطة النهاية ’POST /containers/create‘. وهذا يسمح للمستخدم بربط أي مسار مضيف بحاويته، مما قد يمنحه حق الوصول للقراءة أو الكتابة إلى نظام ملفات المضيف بصفته مستخدم برنامج Docker الخفي (عادةً ما يكون `root`). قد يؤدي ذلك إلى كشف الملفات الحساسة، أو اختراق الحاويات الأخرى الموجودة على نفس المضيف، أو الوصول الكامل إلى واجهة برمجة تطبيقات Docker (Docker API) في حالة تركيب مقبس Docker.