StackStorm оқиғалардың танымал платформасында қатерлі осалдықты тапты

Сарапшының айтуынша, қашықтағы зиянкес әзірлеушілерді арнаулы сервистерде ерікті командаларды орындауға мәжбүр ету үшін осы осалдықты пайдалана алады.

StackStorm көптеген салаларда жұмыс процестерін автоматтандыру үшін қолданылады, ол әзірлеушілерге әрекеттерді баптауға, жұмыс процестері мен жоспарланған міндеттерді, ірі серверлерде кейбір операцияларды орындауға мүмкіндік береді.

StackStorm әрекеттерді орындау қабілеттілігі ақау туралы хабардар қашықтағы зиякеспен бұзылуы мүмкін.

REST API StackStorm бұл осалдық CORS атауларын дұрыс өндемегеніне (түрлі ақпарат көздерінен ресурстарды бірлесіп пайдалануға) әкелді, бұл ақыр соңында веб-браузерлерге аутентификацияланған пайдаланушылар/әзірлеушілер атынан домен аралық сұраныстарды орындауға мүмкіндік берді.

Сарапшы, Access-Control-Allow-Origin үшін StackStorm API-интерфейсі, егер сұрау көзі белгісіз болса, нөлдік мәнді қайтарғанын, ал нұсқасы 2.10.3 / 2.9.3. нұсқасының алдында екенін байқады.

Access-Control-Allow-Origin атауы сайт ресурстарына қандай домендер қол жеткізе алатынын анықтауға мүмкіндік береді, оны дұрыс емес баптап қалдырып, бұл зиянкестерге сол ресурстарға қол жеткізуге мүмкіндік береді.

Осы осалдықты пайдалану үшін зиянкестер жай ғана құрбанға зиянды сілтемеге басуға мәжбүр ету керек, ол әрекеттер мен жұмыс процестерін жасап оқып/ жаңарту, ішкі IP-мекенжайларды алу және StackStorm агентіне қол жетімді, әрбір машинада команданы орындау үшін қажет.

Тавили өткен аптада StackStorm командасына өз қорытындыларын хабарлады, StackStorm 2.9.3 және 2.10.3 нұсқаларын шығару арқылы осы жөнсіздікті тез шешті.

Ақпарат көзі: securityaffairs.co