Détails de la vulnérabilité CVE-2024–27630

Aperçu

Dans Savane v3.12 et versions antérieures, l'absence de validation du paramètre file_id lors de la suppression d'un fichier depuis /bugs/index.php entraîne une vulnérabilité de référence directe à un objet (IDOR) qui permet à un administrateur authentifié d'un groupe disposant d'un suivi de bogues de supprimer arbitrairement les pièces jointes de n'importe quel suivi de bogues, entraînant une indisponibilité de ces fichiers. Étant donné que les identifiants de fichiers s'incrémentent à chaque nouvel envoi, il est possible de créer un script qui supprime de manière itérative toutes les pièces jointes du serveur par file_id.

Classification CWE : CWE-639 : Contournement d'autorisation via une clé contrôlée par l'utilisateur

Signalé par : Ally Petitt

Produit concerné : Savane

Versions concernées : 3.12 et versions antérieures

Détails techniques

La fonction responsable de la suppression des pièces jointes dans les suivis de bogues est trackers_data_delete_file(), définie dans le bloc de code ci-dessous.

frontend/php/include/trackers/data.php:2417

function trackers_data_delete_file ($group_id, $item_id, $file_id)
{
  global $sys_trackers_attachments_dir;
  # Make sure the attachment belongs to the group.
  $res = db_execute ("
    SELECT bug_id from " . ARTIFACT . " WHERE bug_id = ? AND group_id = ?",
    [$item_id, $group_id]
  );
  if (db_numrows ($res) <= 0)
    {
      # TRANSLATORS: the argument is item id (a number).
      $msg = sprintf (
        _("Item #%s doesn't belong to project"), $item_id
      );
      fb ($msg, 1);
      return;
    }

  $result = false;
  # Delete the attachment.
  if (unlink ("$sys_trackers_attachments_dir/$file_id")) 
    $result = db_execute ("
      DELETE FROM trackers_file WHERE item_id = ?  AND file_id = ?",
      [$item_id, $file_id]
    );

CVE-2024-27630

Populaires

Étapes de validation

Atténuation