CVE-2024-23054

Ścieżka ++plone++static/components odwołuje się do pakietu npm, który nie istnieje w publicznym indeksie pakietów (npm registry). Jest to klasyczny atak typu 'dependency confusion' (CWE-427 — uncontrolled search path element): jeśli zależność nie jest dostępna w prywatnym lub wewnętrznym źródle, menedżer pakietów może sięgnąć po pakiet o tej samej nazwie opublikowany w publicznym rejestrze. Atakujący może opublikować złośliwy pakiet pod brakującą nazwą, który zostanie automatycznie pobrany i wykonany w kontekście instalacji Plone.

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie dowolnego kodu (RCE) w środowisku uruchomieniowym kontenera Docker, co może prowadzić do pełnego przejęcia instancji, wycieku danych oraz dalszego lateral movement w infrastrukturze.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się zablokowanie możliwości rozwiązywania zależności npm z publicznego rejestru dla pakietów wewnętrznych oraz weryfikację wszystkich zależności wymienionych w konfiguracji statycznych komponentów Plone.

Plone Docker Official Image w wersji 5.2.13 (build 5221)

Szczegółowy opis techniczny i proof-of-concept dostępne są w repozytorium GitHub: https://github.com/c0d3x27/CVEs/blob/main/CVE-2024-23054/README.md