CVE-2024-10081

Authentication bypass w Ericsson CodeChecker — pełny dostęp do API

CVSS 10.0v3.1pub. 2024-11-06upd. 2025-11-14

Podatność w Ericsson CodeChecker umożliwia ominięcie mechanizmu uwierzytelniania poprzez odpowiednie sformułowanie adresu URL żądania API. Atakujący bez żadnych uprawnień uzyskuje dostęp superużytkownika do niemal wszystkich endpointów aplikacji.

▸ Pokaż oryginał (EN)

CodeChecker is an analyzer tooling, defect database and viewer extension for the Clang Static Analyzer and Clang Tidy. Authentication bypass occurs when the API URL ends with Authentication. This bypass allows superuser access to all API endpoints other than Authentication. These endpoints include the ability to add, edit, and remove products, among others. All endpoints, apart from the /Authentication is affected by the vulnerability. This issue affects CodeChecker: through 6.24.1.

🤖 Analiza AI

Jak działa

Podatność (CWE-288, CWE-420) polega na tym, że mechanizm kontroli dostępu jest pomijany, gdy adres URL żądania kończy się ciągiem 'Authentication'. Pozwala to nieuwierzytelnionemu atakującemu na ominięcie warstwy autoryzacji i wysyłanie żądań do wszystkich endpointów API z wyjątkiem samego endpointu /Authentication. Błąd dotyczy logiki weryfikacji ścieżki URL, a nie warstwy sieciowej, co oznacza, że nie jest wymagany żaden specjalny dostęp do sieci.

Skutki

Atakujący uzyskuje uprawnienia superużytkownika do całego API, co umożliwia dodawanie, edytowanie i usuwanie produktów oraz wykonywanie innych uprzywilejowanych operacji administracyjnych. Podatność prowadzi do pełnej kompromitacji poufności i integralności danych przechowywanych w systemie.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegóły dotyczące naprawionej wersji dostępne są w repozytorium GitHub pod adresem: https://github.com/Ericsson/codechecker/security/advisories/GHSA-f3f8-vx3w-hp5q. Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do instancji CodeChecker wyłącznie do zaufanych hostów.

Kogo dotyczy

Ericsson CodeChecker we wszystkich wersjach do 6.24.1 włącznie.

Uwagi

Podatność posiada maksymalny wynik CVSS 10.0 (Critical) z wektorem sieciowym niewymagającym uwierzytelnienia ani interakcji użytkownika i wpływającym na komponenty zewnętrzne (S:C). Pomimo braku wpisu w CISA KEV, profil ryzyka jest ekstremalny i uzasadnia pilne działanie naprawcze.