Jeroen Pinoy

Pandora contains a path traversal vulnerability in its archive extraction worker. When processing a specially crafted archive or disk image, attacker-controlled file paths could be used without ensuring that the resulting destination remained within the intended extraction directory. An attacker able to submit a malicious file for analysis could use path traversal sequences or crafted paths to cause extracted content to be written outside the designated extraction directory, potentially overwriting files accessible to the Pandora worker process. Successful exploitation could result in unauthorized modification of application or system files, denial of service, and potentially further compromise depending on the permissions of the Pandora process and the files that can be overwritten. The vulnerability is addressed by resolving each extraction destination path before writing and verifying that it remains below the expected extraction directory. Extraction attempts resolving outside this directory are rejected and reported as path traversal attempts.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versões 3.3.0 e posteriores **Description** Ocorre Cross-Site Scripting (XSS) Armazenado porque os títulos de eventos do calendário são renderizados usando `innerHTML`. Como esses títulos são derivados de títulos de casos, um usuário com permissão para criar ou modificar um título de caso pode injetar conteúdo HTML ou scripts. Esse conteúdo é posteriormente executado pelo navegador quando outro usuário visualiza o calendário. O problema envolve o uso de `innerHTML` para atribuir a variável `arg.event.title`. **Recommendations** Para as versões 3.3.0 e posteriores, atualize o software para substituir o uso de `innerHTML` por `textContent` ao renderizar a variável `arg.event.title` e o ícone de download estático.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versões 3.3.0 e posteriores **Descrição** Existe uma falha de autorização na API administrativa de edição de usuários. Embora o sistema impeça que administradores de organização editem usuários de outras organizações, ele não restringe a modificação de contas de administradores totais dentro de sua própria organização. Isso permite que um administrador de organização altere a senha de um administrador total, resultando em escalonamento de privilégios. O problema é corrigido através da implementação de uma verificação de limite de privilégios usando a função `is admin()` para bloquear essas modificações. **Recomendações** Atualize o Flowintel para uma versão onde a verificação de limite `is admin()` esteja implementada na API de edição de usuários para evitar que administradores de organização modifiquem contas de administradores totais.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versões 3.3.0 e posteriores **Description** O Flowintel permite que o valor de configuração `LOG FILE` seja modificado através das configurações do sistema sem restringi-lo ao diretório de log pretendido. Isso permite que um administrador defina o `LOG FILE` para um caminho arbitrário no sistema de arquivos. Como atacantes podem influenciar o conteúdo registrado, eles podem gravar dados controlados em arquivos indesejados. Isso pode levar à execução remota de código através de uma cadeia de exploração na qual um atacante injeta um template em um arquivo e abusa do comportamento de renderização da aplicação. A correção envolve a função `validate log file name()` para rejeitar caminhos absolutos, traversal, caminhos Windows, bytes nulos e componentes de diretório, centralizando a construção do caminho através de `resolve log file path()`. **Recommendations** Atualize o Flowintel para uma versão onde o `LOG FILE` seja removido das configurações editáveis via web e a validação de caminho seja implementada. Como medida de mitigação temporária, restrinja o acesso administrativo às configurações do sistema para evitar a modificação do valor de configuração `LOG FILE`.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versão 3.3.0 **Description** Uma falha de autorização existe onde o endpoint de API '/my assignment/user' está acessível a qualquer usuário de API autenticado. O endpoint utiliza o parâmetro `user id` para identificar o usuário cujas atribuições devem ser recuperadas, mas carece de controle de acesso baseado em função adequado. Isso permite que um usuário autenticado com menos privilégios acesse informações de atribuição de outros usuários ao fornecer seus respectivos identificadores. **Recommendations** Atualizar o Flowintel versão 3.3.0 para uma versão onde o endpoint '/my assignment/user' seja restrito a administradores ou administradores de organização.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel (versões afetadas não especificadas) **Description** Existe um problema onde o conteúdo de notas controlado por um invasor é processado pelo Pandoc e XeLaTeX durante a exportação de PDF. Isso pode levar à leitura não autorizada de arquivos locais no servidor Flowintel, que são então incorporados ao arquivo de exportação gerado. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versões 3.3.0 e posteriores **Description** Existe um problema onde os endereços de e-mail de login são validados incorretamente. O sistema chama `Email(email)`, que apenas constrói um objeto validador em vez de realizar a validação de campo do WTForms. Isso permite que entradas de e-mail malformadas, controladas por um invasor, prossigam pelo processo de login e sejam gravadas em logs de segurança, incluindo um log de aviso e um logger de auditoria personalizado. Como os caracteres de retorno de carro (CR) e alimentação de linha (LF) não são escapados, um invasor não autenticado pode realizar a injeção de logs inserindo linhas de log físicas adicionais ou forjando entradas de log enganosas. **Recommendations** Para as versões 3.3.0 e posteriores, atualize o software para a versão corrigida que ajusta a chamada de validação para `Email()(form, form.email)`, implementa a gravação de logs parametrizada e utiliza a função ` sanitize log fragment()` para codificar retornos de carro e alimentações de linha.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versões 3.3.0 e posteriores **Description** Sessões autenticadas não são revogadas quando um usuário altera sua senha. Isso permite que um invasor com um token de sessão válido mantenha o acesso à conta até que a sessão expire naturalmente, mesmo após a atualização da senha. O problema ocorre nas funções `edit user core()` e `admin edit user core()`, onde o sistema falha em chamar ` invalidate user sessions(user.id)` após uma atualização no banco de dados. **Recommendations** Atualize o Flowintel para uma versão onde as funções `edit user core()` e `admin edit user core()` invoquem explicitamente ` invalidate user sessions(user.id)` ao alterar a senha.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versões 3.3.0 e posteriores **Description** Ocorre Cross-Site Scripting (XSS) armazenado quando blocos Mermaid em notas de caso são renderizados sem a neutralização suficiente de marcações controladas por atacantes. Um atacante com permissões para criar ou editar notas pode armazenar um payload Mermaid manipulado que executa JavaScript no navegador de qualquer usuário que visualize a nota de caso afetada. **Recommendations** Atualize o Flowintel para uma versão onde a detecção de Mermaid e a codificação HTML sejam implementadas para o conteúdo do token e a lógica de encapsulamento seja movida para o início da inicialização da página.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versões 3.3.0 e posteriores **Description** O Flowintel constrói o HTML da linha do tempo concatenando diretamente campos de objetos MISP controláveis por atacantes em strings HTML antes da renderização. Os campos afetados incluem o UUID do objeto, nome do objeto, valor do atributo, tipo de atributo, comentário, valores de primeira/última visualização e a flag de IDS. Embora o DOMPurify tenha sido utilizado para remover vetores de XSS, outros elementos HTML, como formulários, ainda eram permitidos, resultando em injeção de HTML. **Recommendations** Para as versões 3.3.0 e posteriores, atualize o software para uma versão onde a interpolação direta de strings seja substituída pela construção de DOM via `document.createElement()` e os valores controlados por atacantes sejam atribuídos usando `textContent`.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versões 3.3.0 e posteriores **Descrição** O Flowintel confia inadequadamente em chaves de configuração fornecidas ao endpoint de atualização de configurações de alertas. Embora os valores de configuração sejam normalizados para literais Python, as chaves são usadas diretamente para construir e substituir linhas no arquivo `conf/config module.py`. O sistema utiliza chaves controladas pelo solicitante tanto na expressão regular quanto na atribuição gerada `f'{key} = {py val}'`, anexando a atribuição caso a chave não esteja presente. Como o módulo de configuração modificado é posteriormente recarregado usando `importlib.reload()`, cria-se uma fronteira de geração de código. Isso permite que chaves de configuração especialmente elaboradas alterem a estrutura do código-fonte Python, resultando na execução de instruções Python controladas por um invasor. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Flowintel versões 3.3.0 e anteriores **Description** Um problema de referência direta a objeto insegura e autorização de nível de objeto quebrada existe em múltiplos endpoints de tarefa. O sistema não verificava se uma tarefa pertencia ao identificador de caso fornecido. Consequentemente, um usuário autenticado com acesso de nível de editor a um caso poderia substituir um ID de tarefa de um caso diferente para realizar operações não autorizadas. Isso afeta endpoints relacionados a edição, exclusão, nota, atribuição, status, arquivo, exportação, vinculação MISP, subtarefa e referência externa. Adicionalmente, o sistema não verificava se um `note id` pertencia à tarefa atual durante operações de recuperação ou exportação. **Recommendations** Atualize para uma versão posterior à 3.3.0.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Description** Fraquezas no endpoint de autenticação permitem que um invasor remoto não autenticado enumere nomes de usuário válidos, realize ataques de adivinhação de senha irrestritos e potencialmente cause uma negação de serviço. O processo de login anteriormente verificava a existência de um nome de usuário antes de realizar a verificação do hash da senha, criando uma discrepância de tempo que permite a identificadores de contas válidas. Além disso, o endpoint '/login' carece de restrições quanto à frequência de tentativas malsucedidas, possibilitando ataques de força bruta, dicionário, password-spraying ou credential-stuffing. Como a função de derivação de chave de senha consome tempo significativo de CPU, um alto volume de requisições pode esgotar os workers síncronos do Gunicorn, levando à indisponibilidade de todo o aplicativo. **Recommendations** Implementar a verificação de senha usando um hash de senha fictício quando o nome de usuário não existir para eliminar discrepâncias de tempo. Aplicar limitação de taxa (rate-limiting) para tentativas de autenticação malsucedidas por endereço IP do cliente. Configurar o proxy reverso para derivar os endereços dos clientes a partir de um valor `X-Forwarded-For` confiável que não possa ser substituído pelo cliente.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Description** Uma falha de autenticação ausente existe no endpoint '/admin/crypto/group/new'. Este endpoint, destinado à criação administrativa de novas entradas de grupo de cripto, carece de proteção do mecanismo de autenticação da aplicação. Um invasor remoto não autenticado com acesso à interface web pode enviar solicitações para este endpoint para criar entradas de grupo de cripto sem uma sessão válida ou credenciais administrativas. Isso permite modificações não autorizadas em dados restritos a administradores e pode comprometer a integridade das informações processadas ou apresentadas pela aplicação. **Recommendations** Aplique o decorador `flask login.login required` à rota '/admin/crypto/group/new' para garantir que apenas usuários autenticados possam acessar esta funcionalidade.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Descrição** O aplicativo cria sua chave de assinatura de sessão Flask sem restringir explicitamente as permissões de arquivo, resultando frequentemente em permissões como 0644. Isso permite que usuários locais com acesso ao diretório home leiam o arquivo `secret key`. Este segredo criptográfico é usado para assinar cookies de sessão Flask e para a derivação de chaves de API legadas. Um invasor com esta chave pode gerar cookies de sessão válidos para personificar usuários autenticados, incluindo administradores. Em configurações LDAP, isso é simplificado, pois o carregador de usuário de sessão não verifica se o nome de usuário corresponde a um usuário local existente. A exploração bem-sucedida requer acesso ao sistema de arquivos local e pode levar ao comprometimento total dos controles de autenticação e autorização. **Recomendações** Atualize o software para a versão corrigida que cria arquivos de chave secreta com permissões 0600 e restringe as permissões de arquivos de chave existentes durante a inicialização. Restrinja o acesso local ao diretório home do RansomLook para evitar que usuários não autorizados leiam o arquivo `secret key`.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Description** Uma falha de autorização existe na funcionalidade de exportação de banco de dados legada que permite que usuários remotos não autenticados recuperem informações privadas. O endpoint `/export/<database>` permite a exportação de bancos de dados internos selecionados sem a necessidade de autenticação. Como a aplicação não aplica consistentemente as restrições de acesso a entidades privadas em todos os bancos de dados exportáveis, registros associados a grupos, mercados e postagens marcados como privados podem ser expostos. Isso pode levar à divulgação de inteligência privada sobre ransomware, informações de vítimas e dados de rastreamento interno. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso ao endpoint `/export/<database>` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Descrição** A página de administração autenticada `/admin/apikeys` expõe chaves de API completas no código-fonte HTML. Embora a interface do usuário exiba apenas uma representação encurtada da chave, o token completo está incorporado em campos de formulário ocultos usados para as ações de habilitar/desabilitar, acesso privado e exclusão. Isso permite que as credenciais de API sejam recuperadas ao inspecionar o código-fonte da página ou o Document Object Model (DOM). Além disso, essas credenciais podem ser expostas por meio de caches de navegador, proxies de depuração, sistemas de monitoramento ou outros intermediários que inspecionam corpos de resposta HTTP. Um invasor com acesso a esses tokens pode se autenticar com os privilégios atribuídos à chave, potencialmente obtendo acesso a dados privados. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Descrição** Configurações sensíveis de raspagem (scraping) do lado do operador são expostas por meio de múltiplas respostas de API não autenticadas. Registros de localização associados a grupos de ransomware e mercados são retornados a chamadores não autenticados sempre que a localização não estiver marcada como privada. Esses registros podem conter campos internos como `header`, que pode incluir cabeçalhos de autenticação, cookies de sessão ou credenciais; `init script`, que pode conter a lógica usada para ignorar CAPTCHA, proteções anti-bot ou paywalls; e `browser`, que revela detalhes sobre o ambiente de raspagem. Um invasor remoto não autenticado pode consultar os endpoints de API afetados para obter esses valores, potencialmente replicando materiais de autenticação contra serviços monitorados ou identificando e derrotando os mecanismos de coleta. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Description** Uma fraqueza de autorização existe no editor de configuração baseado na web. O endpoint '/admin/config' requer uma sessão autenticada, mas não realiza verificações explícitas de privilégios ou de autorização de administrador. Isso permite que um usuário autenticado com baixos privilégios envie valores de configuração manipulados que são gravados diretamente no arquivo `config/generic.json`. A funcionalidade afetada inclui a modificação de seções de notificação, LDAP, SMTP e configurações gerais do aplicativo. A exploração pode permitir que um invasor altere comportamentos sensíveis de segurança, redirecione integrações, modifique configurações de autenticação, interrompa serviços externos ou cause a indisponibilidade da instalação. Além disso, o editor de configuração opera arquivos contendo valores sensíveis, como senhas, tokens, segredos e chaves de API, aumentando o impacto de contas comprometidas ou com baixos privilégios. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** RansomLook (versões afetadas não especificadas) **Descrição** O RansomLook falha ao aplicar o status de privacidade de grupos e mercados de ransomware ao distribuir postagens de vítimas recém-coletadas para canais de notificação externos. A lógica de pós-processamento verifica se uma postagem individual é privada, mas não verifica a configuração de privacidade do grupo ou mercado associado. Isso permite que informações de vítimas de entidades privadas sejam publicadas automaticamente via canais de notificação do Rocket.Chat, Mastodon, Bluesky e e-mail. Adicionalmente, o feed público do MISP (Malware Information Sharing Platform) determinava a privacidade incorretamente usando a função `groupinfo()`, que consulta apenas o banco de dados de grupos e ignora as flags de privacidade de mercados. Partes não autorizadas que acessem esses canais ou o feed podem obter dados sensíveis, incluindo nomes de vítimas e informações de incidentes de entidades monitoradas privadamente. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.