CVE-2024-46627 – Fehlerhafte Zugriffskontrolle in BECN DATAGERRY v2.2 ermöglicht es Angreifern, beliebige Befehle mittels präparierter Webanfragen auszuführen.

In DATAGERRY v2.2 fehlt die Zugriffskontrolle in der REST-API für die folgenden Endpunkte:

/rest/users/<id>/settings/ (GET, POST)

/rest/users/<id>/settings/<setting> (DELETE, PUT)

Dies erlaubt es einem Angreifer, ohne Authentifizierung Einstellungen beliebiger Benutzer zu lesen, zu erstellen, zu löschen und zu aktualisieren.

Weitere Informationen

• Zur Reproduktion kann das Docker-Setup hier verwendet werden: https://datagerry.readthedocs.io/en/latest/admin_guide/setup.html (Stand 25. September 2024).
• Gültige Payloads können aus den Informationen hier ermittelt werden: https://datagerry.readthedocs.io/en/latest/api/rest/user-management.html#settings
• Siehe hier für Reproduktionsschritte mit Bildern: https://daly.wtf/cve-2024-46627-incorrect-access-control-in-becn-datagerry-v2-2-allows-attackers-to-execute-arbitrary-commands-via-crafted-web-requests/

Dies wird voraussichtlich im nächsten Release behoben.

Ref: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-46627