Thisismissem

O Mastodon é um servidor de rede social gratuito e de código aberto baseado no ActivityPub. Quando um administrador redefine a senha de uma conta de usuário usando a interface de linha de comando com `bin/tootctl accounts modify --reset-password`, as sessões ativas e os tokens de acesso para essa conta não são revogados. Isso permite que um atacante que previamente comprometeu uma sessão ou token continue usando a conta mesmo após a senha ter sido redefinida. O comando usado para redefinir a senha é `bin/tootctl accounts modify --reset-password`.

O Mastodon é um servidor de rede social gratuito e de código aberto baseado no ActivityPub. O servidor de streaming manipula incorretamente os tokens de autenticação, aceitando eventos para linhas do tempo públicas de clientes com tokens válidos que não possuem o escopo `read:statuses` necessário. Isso permite que clientes OAuth sem as permissões necessárias se inscrevam em canais públicos e recebam eventos da linha do tempo pública. O impacto é limitado a novas postagens públicas e requer um token válido, mas pode resultar em acesso não intencional a postagens públicas em ambientes de federação limitada.

Mastodon is a free, open-source social network server based on ActivityPub. Prior to versions 4.4.6, 4.3.14, and 4.2.27, disabling or suspending a user account does not disconnect the account from the streaming API. This allows disabled or suspended accounts to continue receiving real-time updates through existing streaming connections and to establish new streaming connections, despite being unable to interact with other API endpoints. This behavior undermines moderation actions, as administrators expect disabled or suspended accounts to be fully disconnected from the service.

O problema está relacionado a um ataque do tipo Server Side Request Forgery (SSRF). Quando o Fedify precisa recuperar um objeto ou atividade de um servidor ActivityPub remoto, ele faz uma solicitação HTTP para o `@id` ou outros recursos presentes na atividade que recebeu da web. Essa atividade pode fazer referência a um `@id` que aponta para um endereço IP interno, permitindo que um invasor envie solicitações para recursos internos à rede do servidor Fedify. Isso se aplica não apenas à resolução de documentos contendo atividades ou objetos, mas também a URLs de mídia.

O problema está relacionado ao tratamento incorreto de tokens de acesso quando um aplicativo OAuth é destruído. Isso poderia ter permitido que um aplicativo continuasse a escutar o streaming após ter sido destruído, representando potencialmente riscos de segurança para os usuários. O problema decorre da configuração `dependent: delete all` usada pelo Doorkeeper, que impede que o callback `after commit` seja acionado. Como resultado, o servidor de streaming não é informado de que os tokens de acesso foram destruídos. O impacto é considerado insignificante, uma vez que o aplicativo afetado precisava ser de propriedade do usuário.

O problema decorre de verificações de autorização inadequadas e insuficientes durante o processamento de solicitações, permitindo que invasores acessem mais funcionalidades do que o previsto, incluindo recursos administrativos e de moderação. Isso afeta todos os usuários locais de um servidor Pixelfed e pode comprometer a capacidade de federação do servidor. É necessária alguma interação do usuário para criar as condições para a vulnerabilidade, mas os invasores podem realizar o ataque de forma retardada, sem interação ativa do usuário. Existe uma prova de conceito, e a vulnerabilidade foi corrigida na versão 0.11.11. Os detalhes técnicos sobre a exploração incluem: - **Endpoints da API:** Por exemplo, `/api/admin/config/update` pode ser explorado com um token de acesso com escopo `read` para realizar ações administrativas. - **Parâmetros ou variáveis vulneráveis:** Tokens de acesso com escopo `read` podem ser usados para realizar ações que exigem escopos de privilégios mais elevados, como `follow` ou `admin:write`. - **Nomes de funções:** A vulnerabilidade explora a verificação inadequada das permissões do aplicativo/cliente OAuth, permitindo o acesso a funcionalidades não autorizadas.

The issue is related to a regular expression denial of service vulnerability in the strict mode functionality of the ssri module. This vulnerability can be triggered via a long base64 hash string.