Podatność typu Prototype Pollution w bibliotece Aliconnect SDK w wersji 0.0.6 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze. Krytyczny poziom CVSS 9.8 wynika z braku wymagań co do autoryzacji oraz możliwości pełnego przejęcia kontroli nad systemem.
▸ Pokaż oryginał (EN)
A Prototype Pollution issue in Aliconnect /sdk v.0.0.6 allows an attacker to execute arbitrary code via the aim function in the aim.js component.
Podatność (CWE-1321) polega na możliwości modyfikacji prototypu wbudowanych obiektów JavaScript przez nieoczyszczone dane wejściowe. Atakujący może dostarczyć spreparowany obiekt zawierający właściwości takie jak '__proto__', które zostaną scalone z globalnym prototypem Object. W przypadku Aliconnect SDK podatny jest komponent aim.js — konkretnie funkcja aim() — która przetwarza dane wejściowe bez odpowiedniej walidacji, co prowadzi do zatrucia prototypu i wykonania dowolnego kodu.
Atakujący może wykonać dowolny kod po stronie serwera (RCE), co w efekcie może prowadzić do pełnego naruszenia poufności, integralności i dostępności systemu — w tym przejęcia kontroli nad aplikacją i środowiskiem jej działania.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu wydania poprawki zaleca się unikanie użycia funkcji aim() z niezaufanymi danymi wejściowymi, wdrożenie walidacji i sanityzacji danych wejściowych oraz rozważenie zastosowania Object.freeze(Object.prototype) jako tymczasowego obejścia.
Aliconnect Software Development Kit (pakiet /sdk) w wersji 0.0.6
Dostępny jest publiczny proof-of-concept opublikowany na GitHub Gist (autor: tariqhawis), co zwiększa realne ryzyko eksploatacji.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAliconnect Software Development Kit
APPAliconnect0.0.6