Alexandre Dulaunoy

Um estouro de buffer baseado em heap ocorre na função `fanx fingerprint()` dentro do arquivo `ssl/sslxprint.c`. O problema surge de um erro de cálculo no tamanho do buffer necessário para formatar as impressões digitais de certificados X.509 FAN/1; a alocação utiliza um valor fixo de 31 bytes, enquanto a string de formato requer 34 bytes, incluindo o terminador nulo. Como a função `sprintf` grava a string formatada sem verificação de limites, ocorre um estouro de 3 bytes em cada invocação com entradas válidas. Um invasor pode disparar isso fornecendo um arquivo pcap manipulado contendo um certificado TLS X.509 para um usuário que execute a ferramenta com a impressão digital FAN/1 ativada. Essa corrupção de heap pode levar a uma negação de serviço via travamento ou, potencialmente, permitir a execução de código arbitrário.

A função `CakeResponse::download()` em `lib/Cake/Network/CakeResponse.php` não sanitiza nomes de arquivos fornecidos pelo usuário ao construir o cabeçalho Content-Disposition. Isso gera dois vetores de injeção: o uso de caracteres de controle C0 (CR ou LF) pode fazer com que o PHP descarte o cabeçalho Content-Disposition, resultando na renderização do corpo da resposta diretamente no navegador, e o uso de aspas duplas pode encerrar prematuramente o valor da string citada para injetar parâmetros de cabeçalho adicionais. Um usuário autenticado pode fazer o upload de um anexo com um nome de arquivo manipulado que, ao ser visualizado por outro usuário autenticado, permite a manipulação de cabeçalhos e a execução de HTML ou JavaScript arbitrário. Esta condição possibilita o cross-site scripting armazenado, que pode levar ao sequestro de sessão, exfiltração de dados e ações não autorizadas.

Configurações críticas de infraestrutura, especificamente os endereços de host do Redis usados pelo aplicativo principal, pelo plugin ZeroMQ e pelo plugin SimpleBackgroundJobs, são expostos através da interface web e da API para usuários administradores do site. Como os trabalhadores de tarefas em segundo plano confiam em cargas úteis brutas do Redis sem validação adicional, um invasor com uma sessão de administrador sequestrada pode redirecionar essas configurações para um servidor Redis controlado pelo invasor e reiniciar os trabalhadores. Isso permite a injeção de cargas úteis maliciosas, resultando na execução de comandos arbitrários na conta do trabalhador e potencial exfiltração de dados. Além disso, a configuração `download attachments on load`, que gerencia a renderização de anexos inline, pode ser modificada através da mesma interface, facilitando potencialmente ataques no lado do cliente.

A funcionalidade de recuperação de conta contém uma condição de corrida de tempo de verificação para tempo de uso (TOCTOU)—um cenário em que um sistema verifica uma condição e depois usa o resultado, mas a condição muda entre a verificação e o uso—durante o consumo de tokens de recuperação de uso único. Isso ocorre porque o sistema verifica o nonce do token e o limpa em operações de banco de dados separadas. Consequentemente, duas requisições HTTP simultâneas usando o mesmo token válido podem passar pela verificação, permitindo que um invasor com um token válido sobrescreva a senha de um usuário legítimo. Além disso, o endpoint `/user/confirm account/<token>` permite a definição de senhas vazias ou trivialmente curtas, pois o manipulador de visualização realiza uma comparação de igualdade manual entre os campos de senha sem invocar a lógica de validação do formulário, ignorando as restrições de complexidade e comprimento. O problema reside no modelo `User` (`website/models/user.py`) e na camada de visualização (`website/web/views/user.py`).

Um problema de server-side request forgery (SSRF) existe na funcionalidade de sincronização de instâncias remotas. O sistema validava os endereços de instâncias remotas apenas quanto à sintaxe básica de URL antes do armazenamento, enquanto o worker de sincronização posteriormente processava esses endereços usando `requests.get()` com manipulação automática de redirecionamento e sem restrições de limite de rede. Um administrador autenticado com a permissão `admin:access` poderia configurar uma instância remota apontando para serviços HTTP(S) internos, de loopback, link-local ou de metadados de nuvem. Além disso, uma URL publicamente acessível poderia ser usada para redirecionar para um destino interno, pois os redirecionamentos eram seguidos sem revalidação. Isso permite que um invasor privilegiado explore ou interaja com serviços acessíveis a partir do contexto de rede do servidor, como serviços de rede privada ou endpoints de metadados de instâncias em nuvem.

Um problema de cross-site scripting (XSS) armazenado existe no filtro Jinja `render tag badges` usado para exibir tags de referência de registros de vulnerabilidades. A aplicação interpola diretamente valores de `containers.cna.references[].tags[]` em elementos de badge HTML e envolve o resultado em `markupsafe.Markup`, o que ignora a a escape automática de HTML do Jinja. Um usuário autenticado com permissões `vulnerability:create` ou `vulnerability:modify` pode enviar tags de referência manipuladas via API CNA contendo HTML ou JavaScript arbitrário. Este conteúdo malicioso é armazenado e posteriormente executado no navegador de qualquer usuário que visite os endpoints públicos `/cve/<id>` ou `/vuln/<id>`. Isso pode permitir que um invasor realize ações em nome da vítima, acesse informações de sessão ou modifique o conteúdo da página, afetando potencialmente usuários não autenticados.

Existe uma falha de bypass de autorização devido à aplicação inconsistente de regras entre a API REST e a interface de streaming Server-Sent Events (SSE). A interface Pub/Sub utiliza um decorador `token required` que autentica requisições comparando o cabeçalho `X-API-KEY` com a chave de API do usuário, mas não verifica se a conta está ativa ou confirmada. Como as chaves de API são emitidas durante o auto-registro antes da conclusão da confirmação, usuários não autorizados podem acessar o endpoint `/pubsub/subscribe/<topic>`. Isso permite o acesso a eventos de stream, como comentários não moderados, que estariam restritos através da API REST.

Existe uma fraqueza de autenticação no mecanismo de ativação de conta e recuperação de senha. O sistema utiliza tokens assinados sem estado que contêm apenas o login do usuário. Embora a assinatura e a idade sejam validadas, a aplicação não rastreia se um token já foi utilizado. Consequentemente, um link de ativação ou recuperação capturado permanece válido durante todo o `TOKEN VALIDITY PERIOD`, mesmo após a alteração da senha. Isso permite que um invasor com um token válido o utilize repetidamente para redefinir a senha e assumir o controle da conta. Além disso, os tokens não são vinculados a um propósito específico, permitindo que o mesmo token seja usado nos fluxos de ativação e recuperação. A exploração requer a obtenção de um link válido, mas não exige a senha atual da vítima ou uma sessão ativa.

Existe uma falha de bypass de proteção contra Server-Side Request Forgery (SSRF) no módulo de expansão `html to markdown`. O módulo não normaliza endereços IPv6 mapeados para IPv4 antes de compará-los com as faixas bloqueadas de endereços IP de loopback, privados e link-local. Um invasor autenticado pode fornecer um endereço IPv6 mapeado para IPv4 ou um nome de host que resolva para um, ignorando esses filtros. Isso permite que o servidor se conecte a serviços web internos, interfaces administrativas ou metadados de instâncias em nuvem, com o conteúdo recuperado sendo retornado ao invasor como Markdown convertido.

Um problema de validação inadequada de entrada não autenticada existe no endpoint 'POST /fetch cve data'. Um invasor remoto pode manipular parâmetros de requisição que controlam a coleção do MongoDB, campos projetados e filtros de expressões regulares para ler coleções arbitrárias do MongoDB da aplicação. Esta falha pode expor nomes de usuário administrativos e hashes de senhas da coleção `mgmt users`, o que pode levar ao cracking de senhas offline e ao comprometimento de contas administrativas.

Um problema de cross-site scripting armazenado existe no código de renderização de tags. Diversos caminhos de renderização do lado do cliente interpolam nomes de tags, nomes de coleções, identificadores de entidades, nomes de clusters e metadados de tags diretamente em HTML, atributos HTML, manipuladores de eventos JavaScript inline e valores de estilo CSS sem a codificação apropriada ao contexto. Um invasor capaz de criar ou influenciar valores de tags ou metadados armazenados pode injetar um payload malicioso. Quando uma vítima visualiza as páginas afetadas do BSimVis, o payload executa JavaScript arbitrário em sua sessão, potencialmente permitindo que o invasor realize ações como a vítima, leia dados disponíveis ou altere o conteúdo exibido da aplicação.

Um problema existe na funcionalidade de sonda de URL de referência externa em `app/case/task.py`. Um invasor pode enviar uma URL de referência externa para forçar o servidor da aplicação a emitir uma requisição HTTP HEAD para um destino especificado. Devido à validação insuficiente do esquema da URL e do endereço de destino resolvido, isso permite requisições para recursos de rede loopback, link-local, privados, reservados ou outros recursos restritos. Isso pode permitir a interação com serviços internos ou endpoints de metadados de nuvem a partir do contexto de rede do servidor. Trata-se de um server-side request forgery (SSRF), que ocorre quando um servidor é enganado para fazer requisições a um local não pretendido.