CVE-2024-31218

सारांश

Webhood एक सेल्फ-होस्टेड URL स्कैनर है जिसका उपयोग फ़िशिंग और दुर्भावनापूर्ण साइटों का विश्लेषण करने के लिए किया जाता है। Webhood के बैकएंड कंटेनर इमेज संस्करण 0.9.0 और उससे पहले के संस्करणों में क्रिटिकल फ़ंक्शन के लिए अनुपलब्ध प्रमाणीकरण (Missing Authentication for Critical Function) की भेद्यता मौजूद है। यह भेद्यता एक अनप्रमाणित हमलावर को डेटाबेस (Pocketbase) एडमिन API पर HTTP अनुरोध भेजकर एक एडमिन खाता बनाने की अनुमति देती है। Pocketbase एडमिन API एडमिन खाता बनाते समय प्रमाणीकरण/प्राधिकरण की जाँच नहीं करता है जब कोई एडमिन खाता पहले से जोड़ा नहीं गया हो। अपनी डिफ़ॉल्ट तैनाती में, Webhood एक डेटाबेस एडमिन खाता नहीं बनाता है। इसलिए, जब तक उपयोगकर्ताओं ने मैन्युअल रूप से डेटाबेस में एक एडमिन खाता नहीं बनाया हो, तैनाती में कोई एडमिन खाता मौजूद नहीं होगा और तैनाती भेद्य होगी। 0.9.1 से शुरू होने वाले संस्करण पैच किए गए हैं। पैच एक यादृच्छिक रूप से जनित एडमिन खाता बनाता है यदि एडमिन खाते पहले से नहीं बनाए गए हों अर्थात भेद्यता तैनाती में शोषणीय है। एक वर्कअराउंड के रूप में, उपयोगकर्ता `/api/admins` से शुरू होने वाले URL पथ तक पहुँच को पूरी तरह से अक्षम कर सकते हैं। इस वर्कअराउंड के साथ, भेद्यता नेटवर्क के माध्यम से शोषणीय नहीं है।

• CVE-2024-31218-WEBHOOD-LABPoC

  Docker-आधारित लैब जो Webhood में CVE-2024-31218 को पुनः उत्पन्न करती है, जो एक अनधिकृत PocketBase एडमिन निर्माण दोष है, साथ में PoC, डिटेक्शन और उपचार सत्यापन।