CVE-2025-70829: Informationspreisgabe in Datart

Chinesische Dokumentation

1. Schwachstellenübersicht

CVE-ID: CVE-2025-70829
Produkt: Datart
Version: v1.0.0-rc.3
Schwachstellentyp: Informationspreisgabe

Eine Schwachstelle zur Informationspreisgabe in Datart v1.0.0-rc.3 ermöglicht es authentifizierten Angreifern, über eine benutzerdefinierte H2-JDBC-Verbindungszeichenfolge auf sensible Daten zuzugreifen. Indem die Anwendung dazu gebracht wird, eine Verbindung zu ihrer eigenen internen Datenbankdatei herzustellen, können Angreifer Systemtabellen abfragen, die Benutzeranmeldedaten und Konfigurationsdetails enthalten.

2. Reproduktionsschritte

Voraussetzungen

• Authentifizierter Zugriff auf das Datart-Dashboard.

Schritte

1. Melden Sie sich beim Datart-System (v1.0.0-rc.3) an.
2. Navigieren Sie zum Abschnitt "Datenquelle".
3. Klicken Sie, um eine neue Quelle zu erstellen und wählen Sie den Typ "H2" aus.
4. Geben Sie in der Konfiguration die folgende schädliche JDBC-URL ein, um auf die lokale interne Datenbankdatei zu verweisen:
   root@kitploit:~

   jdbc:h2:file:./bin/h2/datart.demo;MODE=MySQL
   

5. Klicken Sie auf "Verbindung testen", um den Zugriff auf die interne Systemdatenbank zu bestätigen.
6. Speichern Sie die Datenquelle.
7. Verwenden Sie den SQL-Editor (oder erstellen Sie ein Diagramm mit dieser Quelle), um beliebige Abfragen auszuführen.

3. Abruf sensibler Informationen

Benutzeranmeldedaten auslesen & JWT fälschen

Durch das Abrufen des Passwort-Hashes eines Benutzers aus der Datenbank können Angreifer ein gültiges JWT-Token fälschen, um sich als beliebiger Benutzer (z. B. Administrator) auszugeben. Dies liegt daran, dass die Anwendung einen fest codierten geheimen Schlüssel (d@a$t%a^r&a*t) verwendet und den Java-hashCode() des Passwort-Hashes in die Token-Nutzlast einbezieht.

SQL-Abfrage:

SELECT id, username, email, password, name FROM user;

Ausnutzung: Verwenden Sie den abgerufenen password-Hash mit jwttest.py, um ein gültiges Bearer-Token für die Anmeldung als beliebiger Benutzer zu generieren.

Datenquellen auslesen & entschlüsseln

Angreifer können auch die Konfiguration anderer verbundener Datenquellen abrufen.

SQL-Abfrage:

SELECT * FROM source;

Entschlüsselung:

Das config-Feld in der source-Tabelle ist oft mit AES verschlüsselt. Die Anwendung verwendet einen standardmäßig fest codierten Sicherheitsschlüssel:

Standard-Sicherheitsschlüssel: d@a$t%a^r&a*t

Sie können das bereitgestellte Dienstprogramm Decrypt.java (das diesen Standardschlüssel enthält) verwenden, um diese Werte zu entschlüsseln und Klartext-Anmeldedaten für externe Datenbanken zu erhalten.