Raphael Vinot

Um problema de path traversal existe no worker de extração de arquivos. Isso ocorre quando o sistema processa um arquivo ou imagem de disco especialmente manipulado e não garante que os caminhos de destino permaneçam dentro do diretório de extração pretendido. Um invasor pode enviar um arquivo malicioso usando sequências de path traversal para gravar conteúdo fora do diretório designado, o que pode levar à modificação não autorizada de arquivos do sistema ou da aplicação, negação de serviço ou comprometimento adicional do sistema, dependendo das permissões do processo.

Existe um problema na funcionalidade de recuperação de favicon onde a aplicação falha ao validar redirecionamentos quando `only global lookup` está habilitado. Embora a URL inicial do favicon seja verificada para evitar requisições ao localhost, loopback ou endereços de rede não públicos, redirecionamentos subsequentes processados pelo aiohttp ignoram essa validação. Um atacante pode fornecer uma URL pública que redireciona para um endereço interno restrito, como `127.0.0.1` ou `localhost`, fazendo com que o host realize requisições HTTP não autorizadas. Isso pode ser utilizado para sondar serviços HTTP internos ou extrair informações de endpoints inacessíveis.

Um problema de cross-site scripting (XSS) armazenado existe na funcionalidade de download de PDF. O endpoint '/task-download/<task id>/.../pdf' utiliza detecção baseada em conteúdo para verificar arquivos como PDFs, mas falha ao não especificar explicitamente o tipo MIME ou forçar o download do arquivo como um anexo ao usar a função `send file()`. Um invasor pode enviar um arquivo polyglot—um arquivo que é válido em dois formatos diferentes—que o Pandora reconhece como um PDF, mas cujo nome de arquivo faz com que o servidor o retorne com um tipo MIME ativo diferente. Isso permite que o navegador interprete o arquivo como HTML ou outro formato web executável, executando scripts controlados pelo invasor no contexto de segurança da aplicação e potencialmente comprometendo os dados da sessão da vítima.

Ocorre um cross-site scripting (XSS) armazenado durante a renderização de observáveis de URL. Uma URL associada a um arquivo analisado é inserida diretamente no manipulador onclick de JavaScript inline da ação Submit to Lookyloo. Como o valor é incorporado dentro de uma string JavaScript dentro de um atributo HTML, um invasor pode usar caracteres especialmente criados para quebrar a string e injetar código JavaScript arbitrário. Esse script é executado no contexto do aplicativo web quando um usuário interage com o controle Submit to Lookyloo, permitindo potencialmente que o invasor acesse informações do navegador ou realize ações usando a sessão autenticada da vítima.

O Pandora apresenta um problema de negação de serviço no processamento de arquivos DAA (Direct Access Archive). Durante a extração de uma imagem ISO interna de um arquivo DAA, o sistema utiliza a função `zlib.decompress()` para processar blocos compactados sem impor um limite aos dados descompactados resultantes. Um invasor pode enviar um arquivo DAA manipulado contendo dados altamente compactados, fazendo com que o sistema expanda uma entrada pequena em uma quantidade excessiva de dados na memória. Esse processo pode levar ao consumo extremo de memória e exaustão da CPU, o que pode fazer com que o worker de extração se torne irresponsivo ou seja encerrado, impactando a disponibilidade geral do serviço. Esse tipo de ataque é conhecido como bomba de descompactação, onde um arquivo pequeno é projetado para consumir vastos recursos do sistema ao ser descompactado.

O Pandora contém um problema de traversal de caminho em sua funcionalidade de extração de arquivos TAR. O extrator passa os nomes dos membros do arquivo diretamente para a função `tarfile.TarFile.extract()` sem aplicar um filtro de extração. Um invasor pode enviar um arquivo TAR especialmente criado contendo caminhos de membros maliciosos, como caminhos absolutos ou sequências usando `../`, para gravar arquivos fora do diretório de extração pretendido. Isso pode levar à sobrescrita de arquivos acessíveis ao processo worker do Pandora, resultando potencialmente em execução de código arbitrário, comprometimento da aplicação ou negação de serviço.

Um problema de Server-Side Request Forgery (SSRF) ocorre quando a opção `only global lookup` está habilitada. Embora essa opção tenha como objetivo bloquear o acesso a recursos de rede locais, de loopback ou não públicos, o processo de recuperação de favicons ignora essas proteções. URLs de favicons extraídas do HTML são buscadas diretamente usando um `aiohttp.ClientSession` sem a validação adequada. Um invasor que controle uma página web processada pode usar uma referência de favicon manipulada para forçar o host a fazer requisições HTTP para serviços de rede internos, endereços IP privados ou endereços de loopback. Isso pode levar à descoberta de serviços internos ou interação não autorizada com endpoints HTTP internos.

O Lookyloo não impõe limites ao tamanho descompactado de arquivos de captura e arquivos HAR compactados enviados. Um invasor pode enviar uma captura especialmente criada em formato ZIP, gzip ou zlib contendo dados que se expandem para um tamanho excessivo durante o processamento. Como a aplicação descompacta esse conteúdo diretamente na memória sem limitar o tamanho da saída, isso pode levar ao esgotamento da memória disponível, encerramento de processos web ou de worker, ou tornar a instância do Lookyloo indisponível. O problema afeta tanto as importações completas de arquivos de captura quanto as submissões de API contendo dados HAR compactados em gzip. A exploração repetida pode causar uma condição persistente de negação de serviço (denial-of-service), que é um estado onde um serviço fica indisponível para seus usuários pretendidos, até que os processos afetados ou a instância sejam reiniciados.

Um problema de cross-site scripting armazenado existe na página de visualização da árvore de captura. A aplicação incorpora dados serializados da árvore de captura diretamente em um bloco JavaScript inline usando o filtro safe do Jinja. Como esses dados podem incluir conteúdo web controlado por um invasor, um valor especialmente criado pode encerrar o elemento `<script>` e injetar HTML ou JavaScript arbitrário. Isso permite a execução de código malicioso no navegador de um usuário que visualize a árvore de captura, potencialmente permitindo que o invasor realize ações por meio da sessão autenticada da vítima, acesse informações sensíveis ou modifique dados da aplicação.

O PlaywrightCapture armazenava configurações e dados de tempo de execução como variáveis de nível de classe mutáveis em vez de variáveis de nível de instância. Isso permite que múltiplos objetos Capture dentro do mesmo processo Python compartilhem estado, incluindo cabeçalhos HTTP, cookies, armazenamento do navegador, credenciais HTTP, configuração de proxy, configurações de user-agent, informações de geolocalização e dados de requisição capturados. Em implantações simultâneas ou multiusuário, os dados de uma captura podem persistir e ser reutilizados por outras, levando potencialmente à divulgação de cookies de autenticação, credenciais ou armazenamento do navegador. Isso também pode permitir que requisições sejam executadas usando o contexto de autenticação ou configuração de proxy de outra captura, possibilitando o acesso não autorizado a recursos remotos.