Podatność w Cerebrate przed wersją 1.30 umożliwia uwierzytelnionemu użytkownikowi bez uprawnień administracyjnych eskalację własnych uprawnień do wyższej roli (np. administratora). Jest to poważne zagrożenie, ponieważ atakujący z dostępem do zwykłego konta może przejąć pełną kontrolę nad systemem.
▸ Pokaż oryginał (EN)
UsersController::edit in Cerebrate before 1.30 allows an authenticated non-privileged user to escalate their privileges (e.g., obtain a higher role such as admin) via the user-edit endpoint by supplying or modifying role_id or organisation_id fields in the edit request.
Funkcja UsersController::edit nie weryfikuje prawidłowo, czy użytkownik ma uprawnienia do modyfikacji pól takich jak role_id lub organisation_id podczas edycji własnego profilu. Uwierzytelniony użytkownik bez uprawnień może wysłać żądanie do endpointu user-edit z ręcznie podanymi lub zmodyfikowanymi wartościami tych pól. W rezultacie system przetwarza zmianę bez kontroli uprawnień, przypisując użytkownikowi wyższą rolę lub inną organizację. Jest to przykład podatności CWE-472 — niewystarczającej kontroli zewnętrznie dostępnych, krytycznych parametrów zapytania.
Atakujący z dostępem do zwykłego konta użytkownika może nadać sobie rolę administratora lub zmienić przynależność organizacyjną, uzyskując pełną kontrolę nad instancją Cerebrate oraz wszystkimi danymi w niej przechowywanymi.
Należy zaktualizować Cerebrate do wersji 1.30 lub nowszej. Poprawka została wprowadzona w commicie c9bfa90abc85d4a20a9cc2f282959b72bef829bb dostępnym w repozytorium producenta na GitHub.
Cerebrate w wersjach wcześniejszych niż 1.30
Podatność wymaga posiadania aktywnego, uwierzytelnionego konta w systemie (PR:H w wektorze CVSS), co nieznacznie ogranicza powierzchnię ataku — jednak w środowiskach z wieloma użytkownikami ryzyko pozostaje wysokie.
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X