Proscan-One

Existe uma falha de autorização na API de endereços de clientes, permitindo que atacantes não autenticados gerenciem endereços de outros clientes. Atacantes que possuam o `customer id` e os UUIDs de endereço podem realizar ações não autorizadas enviando requisições POST, PATCH ou DELETE para o endpoint '/api/customers/:customer id/addresses' para adicionar, modificar ou excluir endereços de entrega salvos.

A verificação de senha de visualização compartilhada utilizava a comparação de igualdade estrita (===) para senhas legadas em texto simples. Isso cria um oráculo de tempo, permitindo que um invasor posicionado na rede vaze o comprimento da senha e o prefixo de cada caractere através da análise do tempo de resposta. O problema ocorre no arquivo `View.ts` e na função `verifyPassword()` do modelo do painel EE. O ramo bcrypt, que lida com hashes iniciados por `$2a$` ou `$2b$`, não é afetado.

Um problema existe na implementação do provedor de identidade LDAP, onde nomes de usuário fornecidos pelo usuário não são devidamente escapados antes de serem incluídos em filtros de pesquisa LDAP. Isso permite que atacantes não autenticados realizem a Injeção de Filtro LDAP durante o processo de login. Ao usar metacaracteres LDAP como `*`, `(` e `)`, um atacante pode executar a injeção LDAP cega. Essa técnica permite a enumeração sistemática de nomes de usuário válidos e a extração de dados de atributos sensíveis do diretório LDAP conectado, analisando as respostas de sucesso ou falha. Isso não permite a bypass total de autenticação.

Múltiplos problemas permitem a execução de código. Três chamadas inseguras de `unserialize()` em `SchedulerJobQueue`, `FrameworkCacheAdapterFileCache` e `Session` desserializam dados não confiáveis sem restringir as classes permitidas. Isso possibilita a injeção de objetos PHP que, por meio de uma cadeia de gadgets, permite a execução de código arbitrário quando um invasor controla a entrada serializada. Além disso, a função `InstallCommand` realiza uma operação de clone do git que passa os parâmetros `branch`, `url` e `path` para um comando de shell sem escape, resultando em injeção de comando de SO durante a instalação de plugins ou temas para usuários com acesso de administrador. Uma injeção de template no lado do servidor também é possível através de um bypass na lista de bloqueio de segurança do Twig.

O Portainer inclui uma configuração de segurança para desativar montagens de bind (bind mounts) para não administradores, destinada a impedir que usuários comuns vinculem caminhos do host em contêineres via API do Docker mediada pelo Portainer. No entanto, o mecanismo de imposição inspecionava apenas a array `HostConfig.Binds` e ignorava a array equivalente `HostConfig.Mounts`. Como ambos os campos são intercambiáveis no daemon do Docker, um usuário autenticado com direitos de criação de contêineres pode burlar essa restrição enviando uma entrada do tipo `bind` em `HostConfig.Mounts` no endpoint 'POST /containers/create'. Isso permite que o usuário monte qualquer caminho do host em seu contêiner, potencialmente obtendo acesso de leitura ou gravação ao sistema de arquivos do host como o usuário do daemon do Docker (geralmente `root`). Isso pode levar à exposição de arquivos sensíveis, comprometimento de outros contêineres no mesmo host ou acesso total à API do Docker se o socket do Docker for montado.