CVE-2021-22910

Rocket.Chat — NoSQL injection umożliwiający RCE (brak sanityzacji zapytań)

CVSS 9.8v3.1pub. 2021-08-09upd. 2024-11-21

W serwerze Rocket.Chat wykryto podatność braku odpowiedniej sanityzacji danych wejściowych, która pozwala na przeprowadzenie ataku NoSQL injection poprzez określony endpoint. Luka ma ocenę krytyczną CVSS 9.8 i może skutkować zdalne wykonanie kodu (RCE) bez konieczności uwierzytelnienia.

▸ Pokaż oryginał (EN)

A sanitization vulnerability exists in Rocket.Chat server versions <3.13.2, <3.12.4, <3.11.4 that allowed queries to an endpoint which could result in a NoSQL injection, potentially leading to RCE.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej sanityzacji zapytań kierowanych do określonego endpointu serwera Rocket.Chat. Atakujący może spreparować złośliwe zapytanie zawierające operatory NoSQL, które nie są właściwie filtrowane przed przekazaniem do bazy danych. W konsekwencji możliwe jest wstrzyknięcie arbitralnych poleceń do silnika bazy danych, co w określonych warunkach może eskalować do zdalnego wykonania kodu (RCE) na serwerze.

Skutki

Nieuwierzytelniony atakujący zdalnie może przejąć pełną kontrolę nad serwerem, uzyskując dostęp do poufnych danych, modyfikując je lub usuwając, a także potencjalnie wykonując dowolny kod na maszynie serwera (RCE).

Mitygacja

Należy zaktualizować Rocket.Chat Server do wersji 3.13.2, 3.12.4 lub 3.11.4 (odpowiednio dla używanej gałęzi). Aktualizacja eliminuje brak sanityzacji zapytań będący przyczyną podatności.

Kogo dotyczy

Rocket.Chat Server w wersjach poniżej 3.13.2, poniżej 3.12.4 oraz poniżej 3.11.4

Uwagi

Szczegółowa analiza techniczna podatności została opublikowana przez zespół SonarSource (blog.sonarsource.com). Zgłoszenie pochodzi z platformy HackerOne (raport #1130874).