PT-2024-2061

CVE-2024-25108

Publicado

2024-02-12

Atualizado

2024-10-11

Descrição por

CVSS 3.1

9.9

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do Pixelfed 0.10.4 a 0.11.9

Descrição

O problema decorre de verificações de autorização inadequadas e insuficientes durante o processamento de solicitações, permitindo que invasores acessem mais funcionalidades do que o previsto, incluindo recursos administrativos e de moderação. Isso afeta todos os usuários locais de um servidor Pixelfed e pode comprometer a capacidade de federação do servidor. É necessária alguma interação do usuário para criar as condições para a vulnerabilidade, mas os invasores podem realizar o ataque de forma retardada, sem interação ativa do usuário. Existe uma prova de conceito, e a vulnerabilidade foi corrigida na versão 0.11.11.

Os detalhes técnicos sobre a exploração incluem:

Endpoints da API: Por exemplo, /api/admin/config/update pode ser explorado com um token de acesso com escopo read para realizar ações administrativas.
Parâmetros ou variáveis vulneráveis: Tokens de acesso com escopo read podem ser usados para realizar ações que exigem escopos de privilégios mais elevados, como follow ou admin:write.
Nomes de funções: A vulnerabilidade explora a verificação inadequada das permissões do aplicativo/cliente OAuth, permitindo o acesso a funcionalidades não autorizadas.

Recomendações

Para as versões 0.10.4 a 0.11.9, atualize para a versão 0.11.11 para corrigir a vulnerabilidade.
Como solução temporária, considere restringir o acesso às funcionalidades administrativas e de moderador até que a atualização possa ser aplicada.
Evite usar o acesso a

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Thisismissem

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-863: Incorrect Authorization

CWE-280: Improper Handling of Insufficient Permissions or Privileges

CWE-285: Improper Authorization