Platforma Misskey nie weryfikuje poprawnie relacji między polami `id` i `url` obiektów ActivityPub, co pozwala atakującemu na sfałszowanie autorytetu w polu `url`. Jest to obejście wcześniejszego patcha dla CVE-2024-52591 i może prowadzić do manipulacji danymi federacyjnymi z krytycznym wpływem na integralność.
▸ Pokaż oryginał (EN)
Misskey is an open source, federated social media platform. The patch for CVE-2024-52591 did not sufficiently validate the relation between the `id` and `url` fields of ActivityPub objects. An attacker can forge an object where they claim authority in the `url` field even if the specific ActivityPub object type require authority in the `id` field. Version 2025.2.1 addresses the issue.
W protokole ActivityPub autorytet nad obiektem powinien być ustalany na podstawie pola `id`. Patch dla CVE-2024-52591 nie walidował wystarczająco powiązania między polami `id` i `url`. Atakujący może spreparować obiekt ActivityPub, w którym deklaruje autorytet za pomocą pola `url`, omijając tym samym weryfikację opartą na polu `id`. Dotyczy to typów obiektów ActivityPub, które wymagają ustalenia autorytetu poprzez pole `id`.
Atakujący zdalnie, bez uwierzytelnienia, może podszyć się pod inny serwer lub użytkownika w sieci federacyjnej, co prowadzi do nieautoryzowanej modyfikacji treści lub danych (wysoki wpływ na integralność) oraz ograniczonego ujawnienia informacji.
Należy zaktualizować Misskey do wersji 2025.2.1, która adresuje tę podatność. Patchname i instrukcje dostępne są w oficjalnym repozytorium GitHub pod adresem wskazanym w referencjach.
Misskey — wszystkie wersje przed 2025.2.1 (w tym wersje z niecałkowicie skutecznym patchem CVE-2024-52591)
Podatność stanowi bypass wcześniejszego patcha dla CVE-2024-52591, co sugeruje, że pierwotna poprawka była niewystarczająca. Wektor CVSS wskazuje na atak sieciowy, bez wymaganych uprawnień i interakcji użytkownika, z wpływem wykraczającym poza zakres atakowanego komponentu (Scope: Changed).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:NMisskey
APPMisskey< 2025.2.1
Powiązane podatności
Niewystarczająca weryfikacja uprawnień w Misskey — nieautoryzowany dostęp do danych
Misskey: nieprawidłowa autoryzacja API umożliwia wyciek danych i nieautoryzowane operacje
Misskey: brak weryfikacji podpisu umożliwia podszywanie się pod użytkowników
Misskey is an open source, federated social media platform. All Misskey servers prior to 2026.3.1 contain a vu...
Misskey is an open source, federated social media platform. Starting in version 13.0.0-beta.16 and prior to ve...