Fafner [_Keyzee_]

Uma falha de autenticação ausente existe no endpoint '/admin/crypto/group/new'. Este endpoint, destinado à criação administrativa de novas entradas de grupo de cripto, carece de proteção do mecanismo de autenticação da aplicação. Um invasor remoto não autenticado com acesso à interface web pode enviar solicitações para este endpoint para criar entradas de grupo de cripto sem uma sessão válida ou credenciais administrativas. Isso permite modificações não autorizadas em dados restritos a administradores e pode comprometer a integridade das informações processadas ou apresentadas pela aplicação.

Uma falha de autorização existe na funcionalidade de exportação de banco de dados legada que permite que usuários remotos não autenticados recuperem informações privadas. O endpoint `/export/<database>` permite a exportação de bancos de dados internos selecionados sem a necessidade de autenticação. Como a aplicação não aplica consistentemente as restrições de acesso a entidades privadas em todos os bancos de dados exportáveis, registros associados a grupos, mercados e postagens marcados como privados podem ser expostos. Isso pode levar à divulgação de inteligência privada sobre ransomware, informações de vítimas e dados de rastreamento interno.

Verificações de autorização inconsistentes ao acessar grupos, mercados e notas de resgate marcados como privados permitem que um invasor remoto não autenticado ou não autorizado acesse informações restritas. Este problema afeta várias visualizações web e endpoints de API, podendo expor nomes de grupos ou mercados privados, conteúdo de notas de resgate e metadados associados. Especificamente, o endpoint `/compare` pode ser consultado diretamente com o nome de uma entidade privada para recuperar contagens de postagens, totais de espelhos e tempo de atividade, mesmo que a entidade esteja oculta da interface do usuário. Além disso, as visualizações de notas de resgate e os resultados de pesquisa careciam de filtragem consistente, permitindo a recuperação de notas associadas a grupos privados.

A neutralização insuficiente de entradas controladas pelo usuário permite a injeção de padrões globais do Redis quando os valores são incorporados em padrões Redis SCAN MATCH. Um invasor não autenticado pode usar metacaracteres globais como `*`, `?`, `[` ou `]` para ampliar a operação de varredura. Isso pode levar à enumeração não autorizada de informações de integridade, slugs de espelho e séries de tempo de atividade de todos os grupos e mercados, incluindo entidades privadas. O problema afeta os endpoints `/api/health/<name>` e `/api/crypto/chain/<chain>`, bem como a função `delete manual torrent()`. No caso de `delete manual torrent()`, um `infohash` manipulado poderia potencialmente corresponder a chaves de integridade de torrent pertencentes a outros torrents.

O RansomLook falha ao aplicar o status de privacidade de grupos e mercados de ransomware ao distribuir postagens de vítimas recém-coletadas para canais de notificação externos. A lógica de pós-processamento verifica se uma postagem individual é privada, mas não verifica a configuração de privacidade do grupo ou mercado associado. Isso permite que informações de vítimas de entidades privadas sejam publicadas automaticamente via canais de notificação do Rocket.Chat, Mastodon, Bluesky e e-mail. Adicionalmente, o feed público do MISP (Malware Information Sharing Platform) determinava a privacidade incorretamente usando a função `groupinfo()`, que consulta apenas o banco de dados de grupos e ignora as flags de privacidade de mercados. Partes não autorizadas que acessem esses canais ou o feed podem obter dados sensíveis, incluindo nomes de vítimas e informações de incidentes de entidades monitoradas privadamente.

Um problema de traversal de caminho existe no tratamento do campo `screen` associado a postagens de grupo. O manipulador da API `GroupPost.get` concatena o valor `screen` do banco de dados diretamente com o diretório `source/` da aplicação e abre o caminho sem verificar se o arquivo resolvido permanece dentro do diretório pretendido. Como o campo `screen` é de formato livre e pode ser preenchido através do editor de postagens administrativas ou importado de uma instância remota, uma instância upstream maliciosa pode fornecer sequências de traversal como `../config/generic.json`. Quando a postagem é recuperada, a aplicação lê o caminho controlado pelo invasor e retorna o conteúdo do arquivo codificado em Base64 na resposta da API. Isso permite que um administrador que controle os dados de postagens importadas leia arquivos arbitrários acessíveis ao processo, expondo potencialmente dados de configuração, credenciais de API, hashes de senha ou outros segredos da aplicação. O ataque não requer que a instância upstream maliciosa possua uma conta no sistema afetado.

A validação insuficiente de recursos na funcionalidade de geração de PDF de análise permite que um invasor autenticado incorpore referências de recursos manipuladas usando esquemas como `file://` ou `http://`. Como os documentos de análise são convertidos de Markdown para HTML e passados para o WeasyPrint para renderização usando um buscador de URL padrão, essas referências são resolvidas sem restrições usando os privilégios do servidor. Isso pode levar ao acesso arbitrário a arquivos locais, expondo configurações e credenciais sensíveis, ou ao Server-Side Request Forgery (SSRF), onde o servidor inicia solicitações não autorizadas ao localhost, serviços de rede interna ou sistemas externos.

Configurações sensíveis de raspagem (scraping) do lado do operador são expostas por meio de múltiplas respostas de API não autenticadas. Registros de localização associados a grupos de ransomware e mercados são retornados a chamadores não autenticados sempre que a localização não estiver marcada como privada. Esses registros podem conter campos internos como `header`, que pode incluir cabeçalhos de autenticação, cookies de sessão ou credenciais; `init script`, que pode conter a lógica usada para ignorar CAPTCHA, proteções anti-bot ou paywalls; e `browser`, que revela detalhes sobre o ambiente de raspagem. Um invasor remoto não autenticado pode consultar os endpoints de API afetados para obter esses valores, potencialmente replicando materiais de autenticação contra serviços monitorados ou identificando e derrotando os mecanismos de coleta.

Uma fraqueza de autorização existe no editor de configuração baseado na web. O endpoint '/admin/config' requer uma sessão autenticada, mas não realiza verificações explícitas de privilégios ou de autorização de administrador. Isso permite que um usuário autenticado com baixos privilégios envie valores de configuração manipulados que são gravados diretamente no arquivo `config/generic.json`. A funcionalidade afetada inclui a modificação de seções de notificação, LDAP, SMTP e configurações gerais do aplicativo. A exploração pode permitir que um invasor altere comportamentos sensíveis de segurança, redirecione integrações, modifique configurações de autenticação, interrompa serviços externos ou cause a indisponibilidade da instalação. Além disso, o editor de configuração opera arquivos contendo valores sensíveis, como senhas, tokens, segredos e chaves de API, aumentando o impacto de contas comprometidas ou com baixos privilégios.

Um problema de cross-site scripting (XSS) armazenado existe na visualização de detalhes da carteira de criptomoedas. A aplicação armazena endereços de criptomoedas e nomes de blockchain de fontes externas, como o feed público crowd-sourced ransomwhe.re, sem validação suficiente. Esses dados são posteriormente incorporados em um manipulador `onclick` de JavaScript inline. Embora o autoescaping HTML do Jinja seja utilizado, ele não protege dados inseridos em uma string JavaScript dentro de um atributo HTML, pois o navegador decodifica entidades HTML antes de interpretar o atributo como JavaScript. Um invasor pode fornecer um endereço de criptomoeda manipulado contendo caracteres de aspas e sintaxe JavaScript para executar código arbitrário quando um usuário clica no botão de exportação CSV. Isso pode ocorrer sem a necessidade de uma conta autenticada se registros maliciosos forem introduzidos em uma fonte de dados externa, permitindo a execução de scripts no contexto de segurança da aplicação web para expor informações ou realizar ações não autorizadas.

Fraquezas no endpoint de autenticação permitem que um invasor remoto não autenticado enumere nomes de usuário válidos, realize ataques de adivinhação de senha irrestritos e potencialmente cause uma negação de serviço. O processo de login anteriormente verificava a existência de um nome de usuário antes de realizar a verificação do hash da senha, criando uma discrepância de tempo que permite a identificadores de contas válidas. Além disso, o endpoint '/login' carece de restrições quanto à frequência de tentativas malsucedidas, possibilitando ataques de força bruta, dicionário, password-spraying ou credential-stuffing. Como a função de derivação de chave de senha consome tempo significativo de CPU, um alto volume de requisições pode esgotar os workers síncronos do Gunicorn, levando à indisponibilidade de todo o aplicativo.

O aplicativo cria sua chave de assinatura de sessão Flask sem restringir explicitamente as permissões de arquivo, resultando frequentemente em permissões como 0644. Isso permite que usuários locais com acesso ao diretório home leiam o arquivo `secret key`. Este segredo criptográfico é usado para assinar cookies de sessão Flask e para a derivação de chaves de API legadas. Um invasor com esta chave pode gerar cookies de sessão válidos para personificar usuários autenticados, incluindo administradores. Em configurações LDAP, isso é simplificado, pois o carregador de usuário de sessão não verifica se o nome de usuário corresponde a um usuário local existente. A exploração bem-sucedida requer acesso ao sistema de arquivos local e pode levar ao comprometimento total dos controles de autenticação e autorização.

A página de administração autenticada `/admin/apikeys` expõe chaves de API completas no código-fonte HTML. Embora a interface do usuário exiba apenas uma representação encurtada da chave, o token completo está incorporado em campos de formulário ocultos usados para as ações de habilitar/desabilitar, acesso privado e exclusão. Isso permite que as credenciais de API sejam recuperadas ao inspecionar o código-fonte da página ou o Document Object Model (DOM). Além disso, essas credenciais podem ser expostas por meio de caches de navegador, proxies de depuração, sistemas de monitoramento ou outros intermediários que inspecionam corpos de resposta HTTP. Um invasor com acesso a esses tokens pode se autenticar com os privilégios atribuídos à chave, potencialmente obtendo acesso a dados privados.