Pavan Nallamothu

A aplicação Flask expõe o endpoint 'POST /script call/<script>' sem autenticação e utiliza Cross-Origin Resource Sharing (CORS) com curinga, o que permite requisições de qualquer origem. Essa configuração permite que um invasor utilize Cross-Site Request Forgery (CSRF) para forçar o navegador de um operador a executar comandos de gerenciamento arbitrários. Exemplos desses comandos incluem `control.py --wipe`, que exclui permanentemente logs forenses e tráfego de rede capturado, e `control.py --stop`, que desativa o monitoramento de segurança.

O serviço de captura ao vivo do Arkime (`arkime-live`) no Malcolm é executado com `network mode: host`, expondo a porta 8005 em todas as interfaces de rede via `viewHost=0.0.0.0`. O serviço confia no cabeçalho `X-Forwarded-User` de qualquer endereço IP (`userAuthIps=::,0.0.0.0/0`) e cria usuários automaticamente com acesso total. Além disso, o `passwordSecret` está codificado com o valor público "Malcolm". Um invasor adjacente à rede pode ignorar completamente o nginx conectando-se diretamente à porta 8005 com um cabeçalho de identidade forjado.

O componente de upload de arquivos incorpora o servidor FilePond PHP, que inclui um arquivo `index.php` que expõe uma rota de API de busca. Esta rota permite que o servidor baixe uma URL arbitrária usando curl com a opção FOLLOWLOCATION ativada. Quando uma requisição HEAD é feita, o servidor armazena o corpo da resposta capturada no diretório de transferência do contêiner de upload e retorna um ID de transferência, permitindo que o solicitante leia o conteúdo capturado.