CVE-2020-23448

Newbee-Mall: ominięcie uwierzytelnienia panelu /admin (AdminLoginInterceptor)

CVSS 9.8v3.1pub. 2021-01-26upd. 2024-11-21

Wszystkie wersje projektu Newbee-Mall zawierają podatność nieprawidłowej kontroli dostępu, która pozwala nieuwierzytelnionemu atakującemu zdalnie uzyskać uprawnienia administracyjne. Mechanizm uwierzytelnienia panelu /admin można całkowicie ominąć, co stanowi krytyczne zagrożenie dla bezpieczeństwa aplikacji.

▸ Pokaż oryginał (EN)

newbee-mall all versions are affected by incorrect access control to remotely gain privileges through AdminLoginInterceptor.java. The authentication logic of the system's background /admin is in code AdminLoginInterceptor, which can be bypassed.

🤖 Analiza AI

Jak działa

Logika uwierzytelnienia dla panelu administracyjnego /admin zaimplementowana jest w klasie AdminLoginInterceptor.java. Błąd w tej implementacji (CWE-306: brak krytycznej weryfikacji uwierzytelnienia, CWE-706: użycie niepoprawnie rozwiązanej nazwy lub odwołania) umożliwia obejście mechanizmu kontroli dostępu. Atakujący może wysłać specjalnie spreparowane żądanie HTTP do endpointu /admin, ominąć interceptor uwierzytelniający i uzyskać pełny dostęp do panelu administracyjnego bez podawania jakichkolwiek poświadczeń.

Skutki

Atakujący bez żadnego uwierzytelnienia może zdalnie przejąć pełną kontrolę nad panelem administracyjnym aplikacji, co prowadzi do ujawnienia, modyfikacji lub usunięcia danych (poufność, integralność i dostępność zagrożone na najwyższym poziomie).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie repozytorium projektu pod adresem https://github.com/newbee-ltd/newbee-mall oraz jak najszybsze wdrożenie poprawionej wersji. Tymczasowo należy rozważyć ograniczenie dostępu do ścieżki /admin na poziomie firewall lub serwera WWW wyłącznie do zaufanych adresów IP.

Kogo dotyczy

Newbee-Mall Project Newbee-Mall — wszystkie wersje

Uwagi

Podatność zgłoszona poprzez GitHub Issues repozytorium projektu (issue #34). Wektor sieciowy bez wymagań dotyczących uwierzytelnienia (AV:N/PR:N) sprawia, że podatność jest szczególnie łatwa do wykorzystania przez dowolnego atakującego mającego dostęp sieciowy do aplikacji.