Podatność w module kompilatora JSON Pointer-to-accessor w Cribl Stream umożliwia zdalnemu uwierzytelnionemu atakującemu wykonanie dowolnego kodu JavaScript po stronie serwera. Luka jest groźna, ponieważ nie wymaga żadnych specjalnych warunków sieciowych ani interakcji ze strony innych użytkowników.
▸ Pokaż oryginał (EN)
Improper control of generation of code in the JSON Pointer-to-accessor compiler in Cribl Stream before 4.18.2 allows a remote authenticated attacker with edit privileges to execute arbitrary JavaScript on the server via a crafted database connection identifier or pack configuration value.
Podatność wynika z nieprawidłowej kontroli generowania kodu (CWE-94) w kompilatorze JSON Pointer-to-accessor. Atakujący posiadający uprawnienia do edycji może dostarczyć spreparowany identyfikator połączenia z bazą danych lub wartość konfiguracyjną paczki (pack configuration value). Tak przygotowane dane wejściowe są następnie interpretowane przez kompilator, który bez odpowiedniej sanityzacji generuje i wykonuje przekazany kod JavaScript bezpośrednio na serwerze.
Atakujący może wykonać dowolny kod JavaScript na serwerze z uprawnieniami procesu Cribl Stream, co może prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub dalszego lateral movement w środowisku ofiary.
Należy zaktualizować Cribl Stream do wersji 4.18.2 lub nowszej, w której problem został naprawiony. Szczegółowe informacje dostępne są w notatkach do wydania producenta: https://docs.cribl.io/stream/release-notes/release-v4182/#security-fixes
Cribl Stream w wersjach wcześniejszych niż 4.18.2
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XCribl Stream
APPCribl< 4.18.2