CVE-2018-9845

Etherpad Lite — nieautoryzowany dostęp administracyjny przed wersją 1.6.4

CVSS 9.8v3.0pub. 2018-04-29upd. 2024-11-21

Etherpad Lite w wersjach przed 1.6.4 zawiera podatność umożliwiającą nieuprawnionemu atakującemu uzyskanie dostępu administracyjnego. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL), co czyni ją poważnym zagrożeniem dla każdej instalacji tego oprogramowania.

▸ Pokaż oryginał (EN)

Etherpad Lite before 1.6.4 is exploitable for admin access.

🤖 Analiza AI

Jak działa

Podatność jest sklasyfikowana jako CWE-178, co wskazuje na nieprawidłowe porównywanie wartości z uwzględnieniem wielkości liter (improper handling of case sensitivity). Błąd ten może pozwalać na obejście mechanizmów uwierzytelniania lub autoryzacji poprzez odpowiednio spreparowane żądanie. W efekcie atakujący sieciowy, bez żadnych uprawnień i bez interakcji użytkownika, może uzyskać dostęp do interfejsu administracyjnego aplikacji.

Skutki

Atakujący może uzyskać pełny dostęp administracyjny do instancji Etherpad Lite, co oznacza potencjalne przejęcie kontroli nad aplikacją, jej danymi oraz konfiguracją — skutkując naruszeniem poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować Etherpad Lite do wersji 1.6.4 lub nowszej, w której podatność została usunięta. Szczegóły poprawki dostępne są w CHANGELOG oraz w repozytorium projektu na GitHub (commit ffe24c3dd93efc73e0cbf924db9a0cc40be9511b).