David Cruciani

A SQL injection vulnerability exists in a database migration script in flowintel. The migration process reads stored connector identifier values from the database and interpolates them directly into SQL statements without parameterization. An attacker who has previously written a malicious identifier value into the affected tables can cause arbitrary SQL execution when the migration is subsequently run during an application upgrade. - Requires prior write access to the database to plant a malicious identifier value - Triggered automatically during a migration or upgrade operation - Can result in unauthorized data disclosure, modification, or deletion Affected versions: flowintel prior to 4.0.0

Existe um problema onde os endereços de e-mail de login são validados incorretamente. O sistema chama `Email(email)`, que apenas constrói um objeto validador em vez de realizar a validação de campo do WTForms. Isso permite que entradas de e-mail malformadas, controladas por um invasor, prossigam pelo processo de login e sejam gravadas em logs de segurança, incluindo um log de aviso e um logger de auditoria personalizado. Como os caracteres de retorno de carro (CR) e alimentação de linha (LF) não são escapados, um invasor não autenticado pode realizar a injeção de logs inserindo linhas de log físicas adicionais ou forjando entradas de log enganosas.

O Flowintel constrói o HTML da linha do tempo concatenando diretamente campos de objetos MISP controláveis por atacantes em strings HTML antes da renderização. Os campos afetados incluem o UUID do objeto, nome do objeto, valor do atributo, tipo de atributo, comentário, valores de primeira/última visualização e a flag de IDS. Embora o DOMPurify tenha sido utilizado para remover vetores de XSS, outros elementos HTML, como formulários, ainda eram permitidos, resultando em injeção de HTML.

Sessões autenticadas não são revogadas quando um usuário altera sua senha. Isso permite que um invasor com um token de sessão válido mantenha o acesso à conta até que a sessão expire naturalmente, mesmo após a atualização da senha. O problema ocorre nas funções `edit user core()` e `admin edit user core()`, onde o sistema falha em chamar ` invalidate user sessions(user.id)` após uma atualização no banco de dados.

Existe um problema onde o conteúdo de notas controlado por um invasor é processado pelo Pandoc e XeLaTeX durante a exportação de PDF. Isso pode levar à leitura não autorizada de arquivos locais no servidor Flowintel, que são então incorporados ao arquivo de exportação gerado.

O Flowintel confia inadequadamente em chaves de configuração fornecidas ao endpoint de atualização de configurações de alertas. Embora os valores de configuração sejam normalizados para literais Python, as chaves são usadas diretamente para construir e substituir linhas no arquivo `conf/config module.py`. O sistema utiliza chaves controladas pelo solicitante tanto na expressão regular quanto na atribuição gerada `f'{key} = {py val}'`, anexando a atribuição caso a chave não esteja presente. Como o módulo de configuração modificado é posteriormente recarregado usando `importlib.reload()`, cria-se uma fronteira de geração de código. Isso permite que chaves de configuração especialmente elaboradas alterem a estrutura do código-fonte Python, resultando na execução de instruções Python controladas por um invasor.

O Flowintel permite que o valor de configuração `LOG FILE` seja modificado através das configurações do sistema sem restringi-lo ao diretório de log pretendido. Isso permite que um administrador defina o `LOG FILE` para um caminho arbitrário no sistema de arquivos. Como atacantes podem influenciar o conteúdo registrado, eles podem gravar dados controlados em arquivos indesejados. Isso pode levar à execução remota de código através de uma cadeia de exploração na qual um atacante injeta um template em um arquivo e abusa do comportamento de renderização da aplicação. A correção envolve a função `validate log file name()` para rejeitar caminhos absolutos, traversal, caminhos Windows, bytes nulos e componentes de diretório, centralizando a construção do caminho através de `resolve log file path()`.

Ocorre Cross-Site Scripting (XSS) armazenado quando blocos Mermaid em notas de caso são renderizados sem a neutralização suficiente de marcações controladas por atacantes. Um atacante com permissões para criar ou editar notas pode armazenar um payload Mermaid manipulado que executa JavaScript no navegador de qualquer usuário que visualize a nota de caso afetada.

Ocorre Cross-Site Scripting (XSS) Armazenado porque os títulos de eventos do calendário são renderizados usando `innerHTML`. Como esses títulos são derivados de títulos de casos, um usuário com permissão para criar ou modificar um título de caso pode injetar conteúdo HTML ou scripts. Esse conteúdo é posteriormente executado pelo navegador quando outro usuário visualiza o calendário. O problema envolve o uso de `innerHTML` para atribuir a variável `arg.event.title`.

Um problema de referência direta a objeto insegura e autorização de nível de objeto quebrada existe em múltiplos endpoints de tarefa. O sistema não verificava se uma tarefa pertencia ao identificador de caso fornecido. Consequentemente, um usuário autenticado com acesso de nível de editor a um caso poderia substituir um ID de tarefa de um caso diferente para realizar operações não autorizadas. Isso afeta endpoints relacionados a edição, exclusão, nota, atribuição, status, arquivo, exportação, vinculação MISP, subtarefa e referência externa. Adicionalmente, o sistema não verificava se um `note id` pertencia à tarefa atual durante operações de recuperação ou exportação.

Existe uma falha de autorização na API administrativa de edição de usuários. Embora o sistema impeça que administradores de organização editem usuários de outras organizações, ele não restringe a modificação de contas de administradores totais dentro de sua própria organização. Isso permite que um administrador de organização altere a senha de um administrador total, resultando em escalonamento de privilégios. O problema é corrigido através da implementação de uma verificação de limite de privilégios usando a função `is admin()` para bloquear essas modificações.

Uma falha de autorização existe onde o endpoint de API '/my assignment/user' está acessível a qualquer usuário de API autenticado. O endpoint utiliza o parâmetro `user id` para identificar o usuário cujas atribuições devem ser recuperadas, mas carece de controle de acesso baseado em função adequado. Isso permite que um usuário autenticado com menos privilégios acesse informações de atribuição de outros usuários ao fornecer seus respectivos identificadores.

O FlowIntel contém um problema de cross-site scripting armazenado onde múltiplos campos controlados por usuários ou administradores são renderizados dentro de elementos DOM compilados pelo Vue. Embora a filtragem HTML padrão esteja presente, ela não impede a injeção de expressões de interpolação do Vue usando delimitadores `[[ ... ]]`. Um invasor autenticado pode armazenar uma expressão Vue maliciosa em campos como títulos de casos, identificadores de tickets, informações de casos recorrentes, atributos de perfil de usuário, nomes de organizações e nomes de funções. Quando outro usuário visualiza o componente afetado, o Vue avalia a expressão, permitindo a execução de JavaScript arbitrário sob a origem do FlowIntel. Isso pode levar à exposição não autorizada de informações, ações realizadas usando a sessão da vítima ou modificação de dados do aplicativo.

Um problema existe na funcionalidade de sonda de URL de referência externa em `app/case/task.py`. Um invasor pode enviar uma URL de referência externa para forçar o servidor da aplicação a emitir uma requisição HTTP HEAD para um destino especificado. Devido à validação insuficiente do esquema da URL e do endereço de destino resolvido, isso permite requisições para recursos de rede loopback, link-local, privados, reservados ou outros recursos restritos. Isso pode permitir a interação com serviços internos ou endpoints de metadados de nuvem a partir do contexto de rede do servidor. Trata-se de um server-side request forgery (SSRF), que ocorre quando um servidor é enganado para fazer requisições a um local não pretendido.