W oprogramowaniu Comet Backup wykryto krytyczną podatność typu IDOR (Insecure Direct Object Reference), umożliwiającą administratorowi jednego tenanta przejęcie tożsamości dowolnego użytkownika innego tenanta na tym samym serwerze. Zagrożenie oceniono na CVSS 9.9, co czyni je krytycznym dla środowisk wielotenantowych.
▸ Pokaż oryginał (EN)
A critical IDOR vulnerability has been discovered in Comet Backup affecting all versions from 20.11.0 to 26.1.1 and 26.2.1. The vulnerability allows a tenant administrator to impersonate any end-user account of other tenants on the same server via a vulnerable API call.
Podatność wynika z braku odpowiedniej weryfikacji uprawnień w określonym wywołaniu API (CWE-639 — Authorization Bypass Through User-Controlled Key). Atakujący posiadający uprawnienia administratora tenanta może manipulować identyfikatorami obiektów w żądaniu API w taki sposób, aby system zaakceptował jego tożsamość jako innego użytkownika należącego do odrębnego tenanta. Nie są wymagane żadne interakcje ze strony ofiary ani szczególne warunki sieciowe — atak jest możliwy zdalnie przez sieć.
Atakujący może w pełni podszywać się pod dowolne konto użytkownika końcowego innych tenantów na tym samym serwerze, uzyskując dostęp do ich danych oraz potencjalnie modyfikując ich zasoby. Stanowi to poważne naruszenie izolacji środowisk wielotenantowych i może prowadzić do wycieku lub utraty danych klientów.
Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o wersji naprawczej dostępne są w artykule pomocy technicznej Comet Backup pod adresem wskazanym w referencjach CVE
Comet Backup we wszystkich wersjach od 20.11.0 do 26.1.1 oraz wersja 26.2.1
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X