Fafner [_Keyzee_]

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Description** Uma falha de autenticação ausente existe no endpoint '/admin/crypto/group/new'. Este endpoint, destinado à criação administrativa de novas entradas de grupo de cripto, carece de proteção do mecanismo de autenticação da aplicação. Um invasor remoto não autenticado com acesso à interface web pode enviar solicitações para este endpoint para criar entradas de grupo de cripto sem uma sessão válida ou credenciais administrativas. Isso permite modificações não autorizadas em dados restritos a administradores e pode comprometer a integridade das informações processadas ou apresentadas pela aplicação. **Recommendations** Aplique o decorador `flask login.login required` à rota '/admin/crypto/group/new' para garantir que apenas usuários autenticados possam acessar esta funcionalidade.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Description** Uma falha de autorização existe na funcionalidade de exportação de banco de dados legada que permite que usuários remotos não autenticados recuperem informações privadas. O endpoint `/export/<database>` permite a exportação de bancos de dados internos selecionados sem a necessidade de autenticação. Como a aplicação não aplica consistentemente as restrições de acesso a entidades privadas em todos os bancos de dados exportáveis, registros associados a grupos, mercados e postagens marcados como privados podem ser expostos. Isso pode levar à divulgação de inteligência privada sobre ransomware, informações de vítimas e dados de rastreamento interno. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso ao endpoint `/export/<database>` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Description** Verificações de autorização inconsistentes ao acessar grupos, mercados e notas de resgate marcados como privados permitem que um invasor remoto não autenticado ou não autorizado acesse informações restritas. Este problema afeta várias visualizações web e endpoints de API, podendo expor nomes de grupos ou mercados privados, conteúdo de notas de resgate e metadados associados. Especificamente, o endpoint `/compare` pode ser consultado diretamente com o nome de uma entidade privada para recuperar contagens de postagens, totais de espelhos e tempo de atividade, mesmo que a entidade esteja oculta da interface do usuário. Além disso, as visualizações de notas de resgate e os resultados de pesquisa careciam de filtragem consistente, permitindo a recuperação de notas associadas a grupos privados. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Ransomlook (versões afetadas não especificadas) **Description** A neutralização insuficiente de entradas controladas pelo usuário permite a injeção de padrões globais do Redis quando os valores são incorporados em padrões Redis SCAN MATCH. Um invasor não autenticado pode usar metacaracteres globais como `*`, `?`, `[` ou `]` para ampliar a operação de varredura. Isso pode levar à enumeração não autorizada de informações de integridade, slugs de espelho e séries de tempo de atividade de todos os grupos e mercados, incluindo entidades privadas. O problema afeta os endpoints `/api/health/<name>` e `/api/crypto/chain/<chain>`, bem como a função `delete manual torrent()`. No caso de `delete manual torrent()`, um `infohash` manipulado poderia potencialmente corresponder a chaves de integridade de torrent pertencentes a outros torrents. **Recommendations** Aplique a correção disponível para remover o fallback inseguro no endpoint de integridade e implementar a filtragem de caracteres globais para valores controlados pelo usuário usados em expressões Redis SCAN MATCH. Como medida de mitigação temporária, restrinja o acesso aos endpoints `/api/health/<name>` e `/api/crypto/chain/<chain>` e evite passar entradas não confiáveis para a função `delete manual torrent()`.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Descrição** O RansomLook falha ao aplicar o status de privacidade de grupos e mercados de ransomware ao distribuir postagens de vítimas recém-coletadas para canais de notificação externos. A lógica de pós-processamento verifica se uma postagem individual é privada, mas não verifica a configuração de privacidade do grupo ou mercado associado. Isso permite que informações de vítimas de entidades privadas sejam publicadas automaticamente via canais de notificação do Rocket.Chat, Mastodon, Bluesky e e-mail. Adicionalmente, o feed público do MISP (Malware Information Sharing Platform) determinava a privacidade incorretamente usando a função `groupinfo()`, que consulta apenas o banco de dados de grupos e ignora as flags de privacidade de mercados. Partes não autorizadas que acessem esses canais ou o feed podem obter dados sensíveis, incluindo nomes de vítimas e informações de incidentes de entidades monitoradas privadamente. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Descrição** Um problema de traversal de caminho existe no tratamento do campo `screen` associado a postagens de grupo. O manipulador da API `GroupPost.get` concatena o valor `screen` do banco de dados diretamente com o diretório `source/` da aplicação e abre o caminho sem verificar se o arquivo resolvido permanece dentro do diretório pretendido. Como o campo `screen` é de formato livre e pode ser preenchido através do editor de postagens administrativas ou importado de uma instância remota, uma instância upstream maliciosa pode fornecer sequências de traversal como `../config/generic.json`. Quando a postagem é recuperada, a aplicação lê o caminho controlado pelo invasor e retorna o conteúdo do arquivo codificado em Base64 na resposta da API. Isso permite que um administrador que controle os dados de postagens importadas leia arquivos arbitrários acessíveis ao processo, expondo potencialmente dados de configuração, credenciais de API, hashes de senha ou outros segredos da aplicação. O ataque não requer que a instância upstream maliciosa possua uma conta no sistema afetado. **Recomendações** Resolva os caminhos de tela usando `os.path.realpath()` e verifique se o caminho resolvido permanece abaixo do diretório `source/` da aplicação. Realize a validação tanto no momento em que os valores são gravados quanto imediatamente antes de os arquivos serem lidos. Utilize caminhos canônicos para evitar o traversal através de links simbólicos.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Description** A validação insuficiente de recursos na funcionalidade de geração de PDF de análise permite que um invasor autenticado incorpore referências de recursos manipuladas usando esquemas como `file://` ou `http://`. Como os documentos de análise são convertidos de Markdown para HTML e passados para o WeasyPrint para renderização usando um buscador de URL padrão, essas referências são resolvidas sem restrições usando os privilégios do servidor. Isso pode levar ao acesso arbitrário a arquivos locais, expondo configurações e credenciais sensíveis, ou ao Server-Side Request Forgery (SSRF), onde o servidor inicia solicitações não autorizadas ao localhost, serviços de rede interna ou sistemas externos. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Descrição** Configurações sensíveis de raspagem (scraping) do lado do operador são expostas por meio de múltiplas respostas de API não autenticadas. Registros de localização associados a grupos de ransomware e mercados são retornados a chamadores não autenticados sempre que a localização não estiver marcada como privada. Esses registros podem conter campos internos como `header`, que pode incluir cabeçalhos de autenticação, cookies de sessão ou credenciais; `init script`, que pode conter a lógica usada para ignorar CAPTCHA, proteções anti-bot ou paywalls; e `browser`, que revela detalhes sobre o ambiente de raspagem. Um invasor remoto não autenticado pode consultar os endpoints de API afetados para obter esses valores, potencialmente replicando materiais de autenticação contra serviços monitorados ou identificando e derrotando os mecanismos de coleta. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Description** Uma fraqueza de autorização existe no editor de configuração baseado na web. O endpoint '/admin/config' requer uma sessão autenticada, mas não realiza verificações explícitas de privilégios ou de autorização de administrador. Isso permite que um usuário autenticado com baixos privilégios envie valores de configuração manipulados que são gravados diretamente no arquivo `config/generic.json`. A funcionalidade afetada inclui a modificação de seções de notificação, LDAP, SMTP e configurações gerais do aplicativo. A exploração pode permitir que um invasor altere comportamentos sensíveis de segurança, redirecione integrações, modifique configurações de autenticação, interrompa serviços externos ou cause a indisponibilidade da instalação. Além disso, o editor de configuração opera arquivos contendo valores sensíveis, como senhas, tokens, segredos e chaves de API, aumentando o impacto de contas comprometidas ou com baixos privilégios. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Descrição** Um problema de cross-site scripting (XSS) armazenado existe na visualização de detalhes da carteira de criptomoedas. A aplicação armazena endereços de criptomoedas e nomes de blockchain de fontes externas, como o feed público crowd-sourced ransomwhe.re, sem validação suficiente. Esses dados são posteriormente incorporados em um manipulador `onclick` de JavaScript inline. Embora o autoescaping HTML do Jinja seja utilizado, ele não protege dados inseridos em uma string JavaScript dentro de um atributo HTML, pois o navegador decodifica entidades HTML antes de interpretar o atributo como JavaScript. Um invasor pode fornecer um endereço de criptomoeda manipulado contendo caracteres de aspas e sintaxe JavaScript para executar código arbitrário quando um usuário clica no botão de exportação CSV. Isso pode ocorrer sem a necessidade de uma conta autenticada se registros maliciosos forem introduzidos em uma fonte de dados externa, permitindo a execução de scripts no contexto de segurança da aplicação web para expor informações ou realizar ações não autorizadas. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Valide os endereços de criptomoedas e identificadores de blockchain antes do armazenamento, restringindo-os a um conjunto de caracteres seguro. Substitua os manipuladores de JavaScript inline por atributos `data-*` e ouvintes de eventos externos para garantir que os valores da carteira sejam tratados como dados e não como código executável.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Description** Fraquezas no endpoint de autenticação permitem que um invasor remoto não autenticado enumere nomes de usuário válidos, realize ataques de adivinhação de senha irrestritos e potencialmente cause uma negação de serviço. O processo de login anteriormente verificava a existência de um nome de usuário antes de realizar a verificação do hash da senha, criando uma discrepância de tempo que permite a identificadores de contas válidas. Além disso, o endpoint '/login' carece de restrições quanto à frequência de tentativas malsucedidas, possibilitando ataques de força bruta, dicionário, password-spraying ou credential-stuffing. Como a função de derivação de chave de senha consome tempo significativo de CPU, um alto volume de requisições pode esgotar os workers síncronos do Gunicorn, levando à indisponibilidade de todo o aplicativo. **Recommendations** Implementar a verificação de senha usando um hash de senha fictício quando o nome de usuário não existir para eliminar discrepâncias de tempo. Aplicar limitação de taxa (rate-limiting) para tentativas de autenticação malsucedidas por endereço IP do cliente. Configurar o proxy reverso para derivar os endereços dos clientes a partir de um valor `X-Forwarded-For` confiável que não possa ser substituído pelo cliente.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Descrição** O aplicativo cria sua chave de assinatura de sessão Flask sem restringir explicitamente as permissões de arquivo, resultando frequentemente em permissões como 0644. Isso permite que usuários locais com acesso ao diretório home leiam o arquivo `secret key`. Este segredo criptográfico é usado para assinar cookies de sessão Flask e para a derivação de chaves de API legadas. Um invasor com esta chave pode gerar cookies de sessão válidos para personificar usuários autenticados, incluindo administradores. Em configurações LDAP, isso é simplificado, pois o carregador de usuário de sessão não verifica se o nome de usuário corresponde a um usuário local existente. A exploração bem-sucedida requer acesso ao sistema de arquivos local e pode levar ao comprometimento total dos controles de autenticação e autorização. **Recomendações** Atualize o software para a versão corrigida que cria arquivos de chave secreta com permissões 0600 e restringe as permissões de arquivos de chave existentes durante a inicialização. Restrinja o acesso local ao diretório home do RansomLook para evitar que usuários não autorizados leiam o arquivo `secret key`.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Descrição** A página de administração autenticada `/admin/apikeys` expõe chaves de API completas no código-fonte HTML. Embora a interface do usuário exiba apenas uma representação encurtada da chave, o token completo está incorporado em campos de formulário ocultos usados para as ações de habilitar/desabilitar, acesso privado e exclusão. Isso permite que as credenciais de API sejam recuperadas ao inspecionar o código-fonte da página ou o Document Object Model (DOM). Além disso, essas credenciais podem ser expostas por meio de caches de navegador, proxies de depuração, sistemas de monitoramento ou outros intermediários que inspecionam corpos de resposta HTTP. Um invasor com acesso a esses tokens pode se autenticar com os privilégios atribuídos à chave, potencialmente obtendo acesso a dados privados. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.