Tanguy Snoeck

في الحالات التي يتم فيها تكوين مثيلات MISP لتطلب التسجيل في TOTP عبر `Security.otp required` ، كان فرض إعداد المصادقة الثنائية الإلزامية يقتصر فقط على طلبات المتصفح القياسية. كان بإمكان المستخدم المصادق عليه والذي لم يسجل بعد في TOTP تجاوز هذا الإعداد من خلال إصدار أي نوع من الطلبات غير الخاصة بالمتصفح، بما في ذلك مكالمات AJAX/XHR، أو طلبات REST API، أو عناوين URL بتنسيق `.json` ، أو استعلامات `restSearch` ، أو إجراءات الأتمتة. يحدث هذا لأن أشكال الطلبات القابلة للقراءة آليًا لا يمكنها اتباع إعادة التوجيه التي يستخدمها مسار المتصفح لإرسال المستخدم إلى صفحة التسجيل في TOTP، مما يسمح للمستخدم بالاحتفاظ بالوصول الكامل إلى المثيل دون إكمال إعداد العامل الثاني المطلوب.

A flaw exists in the one-time password (OTP) authentication flow that allows the replay of a consumed HMAC-based One-Time Password (HOTP) token and the rewinding of the token counter. The issue occurs because the verification logic compares the submitted token against a counter value cached in the user session instead of the authoritative counter in the database. Since the cached counter is not updated after a token is used, an attacker with a valid session (where the password has been submitted but the OTP is pending) can reuse a previously used token to bypass the second authentication factor and gain unauthorized access. This process also corrupts the HOTP counter state, which may invalidate future legitimate tokens.

A flaw in the two-factor authentication (TOTP) verification process allows a valid one-time code to be accepted multiple times within its time-based validity window, typically 30 seconds. This occurs because the system fails to record if a specific TOTP period has already been consumed. An attacker who intercepts a legitimate code during a user login can replay it to establish an unauthorized second session as that user, potentially compromising administrative functions and threat-intelligence data.

A tenant isolation bypass exists in the semantic cache layer due to a metadata key mismatch between the ` get semantic cache tenant scope()` and ` get metadata variable name()` functions. Authenticated users with a valid virtual key can exploit this by submitting semantically similar prompts to the '/v1/responses' and '/bedrock/*' endpoints. This allows an attacker to retrieve cached responses belonging to other tenants, potentially exposing personally identifiable information, financial data, or source code. Additionally, this can lead to the execution of attacker-supplied tool calls under victim credentials if cached `function call` or `tool calls` payloads are returned to a different principal.

توجد مشكلة غير آمنة في عملية إزالة التسلسل في خادم التسجيل، مما يسمح للمهاجمين غير المصادق عليهم أو غير المصرح لهم بتنفيذ التعليمات البرمجية عن بُعد. من خلال إرسال طلب gRPC مُصمم خصيصًا، يمكن للمهاجم استغلال الحقل `user defined function.body` في مواصفات OnDemandFeatureView. يتم فك تشفير هذا الحقل باستخدام base64 وتمريره إلى الدالة `dill.loads()` قبل إجراء أي فحوصات للتفويض. وهذا يسمح بتضمين كائن Python متسلسل ضار مع طريقة ` reduce ` تعسفية لتنفيذ أوامر نظام التشغيل بموجب امتيازات حساب خدمة Feast.

توجد ثغرة تسمح للمهاجمين غير المصادق عليهم باستعادة جلسات المستخدمين المصادق عليهم ووراثة صلاحياتها. ويحدث ذلك أثناء استعادة جلسة WebSocket عندما يتم تقديم `sessionId` صالح دون التحقق من ملكيته عبر مسار ’restore existing session‘. يتيح الاستغلال الناجح للمهاجم تولي أذونات وأدوار الضحية، مما يؤدي إلى الوصول غير المصرح به إلى البيانات المقيدة والقدرة على تشغيل الأدوات.