W aplikacji Pig4Cloud Pig w wersji 3.8.2 i niższych interfejs zarządzania tokenami (/api/admin/sys-token/page) nieprawidłowo weryfikuje uprawnienia użytkownika, co prowadzi do wycieku informacji. Każdy zalogowany użytkownik może pobrać tokeny uwierzytelniania wszystkich aktywnych sesji — w tym konta administratora — i przejąć pełną kontrolę nad systemem.
▸ Pokaż oryginał (EN)
In pig-mesh In Pig version 3.8.2 and below, within the Token Management function under the System Management module, the token query interface (/api/admin/sys-token/page) has an improper permission verification issue, which leads to information leakage. This interface can be called by any user who has completed login authentication, and it returns the plaintext authentication Tokens of all users currently logged in to the system. As a result, ordinary users can obtain the administrator's authentication Token through this interface, thereby forging an administrator account, gaining the system's management permissions, and taking over the system.
Interfejs API /api/admin/sys-token/page, dostępny w module zarządzania systemem, nie wymusza kontroli uprawnień opartej na roli użytkownika. Wystarczy, że wywołujący posiada ważną sesję (ukończona logowanie), aby otrzymać odpowiedź zawierającą plaintext tokeny uwierzytelniania wszystkich aktualnie zalogowanych użytkowników. Atakujący może użyć uzyskanego tokenu administratora do podszycia się pod jego konto i wykonywania działań z pełnymi uprawnieniami administracyjnymi bez znajomości hasła.
Atakujący z dowolnym kontem użytkownika może uzyskać token administratora i całkowicie przejąć system, wykonując operacje z najwyższymi uprawnieniami, w tym modyfikację konfiguracji, odczyt danych i zarządzanie użytkownikami.
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Tymczasowo zaleca się ograniczenie dostępu do endpointu /api/admin/sys-token/page wyłącznie do użytkowników z rolą administratora na poziomie konfiguracji serwera lub firewall oraz przegląd i unieważnienie aktualnie wystawionych tokenów.
Pig4Cloud Pig (pig-mesh/pig) w wersji 3.8.2 i niższych
Szczegółowy opis podatności opublikowany jest w repozytorium GitHub zgłaszającego (LockeTom) oraz jako issue #1202 w oficjalnym repozytorium pig-mesh/pig.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:NPig4cloud Pig
APPPig4Cloud≤ 3.8.2