CVE-2024-31218

Zusammenfassung

Webhood ist ein selbstgehosteter URL-Scanner zur Analyse von Phishing- und bösartigen Websites. Die Backend-Container-Images von Webhood in den Versionen 0.9.0 und früher sind von einer Schwachstelle durch fehlende Authentifizierung für kritische Funktionen betroffen. Diese Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, eine HTTP-Anfrage an die Admin-API der Datenbank (Pocketbase) zu senden, um ein Administratorkonto zu erstellen. Die Pocketbase-Admin-API prüft bei der Erstellung eines Administratorkontos keine Authentifizierung/Autorisierung, wenn noch keine Administratorkonten hinzugefügt wurden. In der Standardbereitstellung erstellt Webhood kein Datenbank-Administratorkonto. Daher existiert in der Bereitstellung kein Administratorkonto, es sei denn, Benutzer haben manuell ein Administratorkonto in der Datenbank erstellt, und die Bereitstellung ist anfällig. Versionen ab 0.9.1 sind gepatcht. Der Patch erstellt ein zufällig generiertes Administratorkonto, falls noch keine Administratorkonten erstellt wurden, d. h. die Schwachstelle in der Bereitstellung ausnutzbar ist. Als Workaround können Benutzer den Zugriff auf URL-Pfade, die mit `/api/admins` beginnen, vollständig deaktivieren. Mit diesem Workaround ist die Schwachstelle nicht über das Netzwerk ausnutzbar.

Quellen

• CVE-2024-31218-WEBHOOD-LABPoC

  Docker-basiertes Lab zur Reproduktion von CVE-2024-31218, einer nicht authentifizierten PocketBase-Admin-Erstellungs-Schwachstelle in Webhood, mit PoC, Erkennung und Verifizierung der Behebung.