Asadbek Fatullayev

Um problema de negação de serviço permite que atacantes remotos não autenticados causem a falha do processo ION. Isso ocorre quando um pacote BPv7 com carga útil (payload) de comprimento zero é enviado. Especificamente, a função `canonicalizePayloadBlock()` em bpsec util.c passa a variável `bundle->payload.length` para `zco clone()` sem validar se ela é zero. Isso leva a uma falha na asserção CHKZERO, que dispara a função `sm Abort()` e encerra o processo com SIGABRT. Esse processo ocorre antes de qualquer verificação de HMAC (Hash-based Message Authentication Code, um mecanismo para verificar tanto a integridade dos dados quanto a autenticidade de uma mensagem), o que significa que nenhuma chave ou credencial válida é necessária para a exploração.

Existe uma falha de bypass de autenticação que permite que atacantes não autenticados acessem recursos protegidos. Ao fornecer um parâmetro de URL controlado pelo atacante ao endpoint de autenticação de link de compartilhamento, o identificador de recurso esperado é omitido da chamada de verificação de token. Um atacante com um único link de compartilhamento válido para qualquer recurso pode se autenticar em recursos arbitrários em diferentes organizações, ignorando SSO, senhas de recurso, códigos PIN, listas de permissão de e-mail e autenticação de cabeçalho.

O endpoint POST '/common/load-related-data' resolve nomes de campos fornecidos pelo chamador para qualquer coluna @TableField de qualquer entidade e retorna esses valores para todas as linhas, sem uma lista de permissões de campos ou entidades. A função de guarda de segurança `relatedDataSecurityCheck()` retorna true incondicionalmente, permitindo que qualquer usuário autenticado, incluindo contas sem funções, leia campos secretos anotados com @JsonIgnore, como `IamAccount.authSecret` e `IamAccount.secretSalt` de todas as contas, ou outros campos secretos arbitrários. Como o sistema utiliza o MD5 de duas iterações do Shiro com um salt de 8 caracteres, que é facilmente quebrável offline, a divulgação de hashes de senhas de administrador pode levar ao controle administrativo total. Este endpoint é exigido pelo frontend oficial diboot-admin-ui. No ramo de desenvolvimento, este mecanismo foi renomeado para attachMore*, mas a função `attachMoreSecurityCheck()` também retorna true incondicionalmente.

O endpoint POST '/download/uploadFromRsByLocal' não valida o parâmetro `path`, que é passado diretamente para as funções `new File(path)` e `file.transferTo(dest)`. Isso permite que um invasor escreva arquivos arbitrários usando a conta de serviço do Dinky. O endpoint é excluído do interceptor Sa-Token e depende de um valor `dinkyToken` codificado no código para autenticação, que é enviado em cada implantação. Em instalações padrão do Docker, a aplicação roda na porta 8888 com permissões permissivas em /opt/dinky, permitindo a sobrescrita de ativos estáticos, scripts de inicialização e o classpath da aplicação. Isso pode levar à execução de código arbitrário via classpath-shadowing na próxima reinicialização da JVM.

A função `getAll()` no `SysConfigController` contém uma anotação `@SaIgnore` em nível de método que ignora a verificação de segurança `@SaCheckLogin` em nível de classe. Isso permite que chamadores remotos não autenticados acessem o endpoint `GET /api/sysConfig/getAll` sem verificação de sessão ou função. Consequentemente, a configuração completa do sistema é exposta, incluindo credenciais sensíveis em texto claro, como `sys.env.settings.dinkyToken`, `sys.ldap.settings.userPassword`, `sys.resource.settings.oss.accessKey`, `sys.resource.settings.oss.secretKey` e `sys.dolphinscheduler.settings.token`. Essa exposição inclui padrões pré-configurados em instalações novas e credenciais de terceiros configuradas por operadores. Além disso, a divulgação do `dinkyToken` compromete a segurança do endpoint `POST /download/uploadFromRsByLocal`.