CVE-2024-47062

सारांश

Navidrome एक ओपन सोर्स वेब-आधारित संगीत संग्रह सर्वर और स्ट्रीमर है। Navidrome स्वचालित रूप से URL में पैरामीटर को SQL क्वेरी में जोड़ता है। URL में `password=...` जैसे पैरामीटर जोड़कर इसका दुरुपयोग करके जानकारी तक पहुँचा जा सकता है (ORM Leak)। इसके अलावा, पैरामीटर के नाम ठीक से escape नहीं किए जाते हैं, जिससे SQL Injection हो सकती है। अंत में, उपयोगकर्ता नाम का उपयोग `LIKE` स्टेटमेंट में किया जाता है, जिससे लोग अपने उपयोगकर्ता नाम के बजाय `%` के साथ लॉगिन कर सकते हैं। URL में पैरामीटर जोड़ते समय, वे स्वचालित रूप से एक SQL `LIKE` स्टेटमेंट में शामिल हो जाते हैं (पैरामीटर के नाम के आधार पर)। यह हमलावरों को संभावित रूप से मनमानी जानकारी प्राप्त करने की अनुमति देता है। उदाहरण के लिए, हमलावर यह जाँचने के लिए निम्नलिखित अनुरोध का उपयोग कर सकते हैं कि क्या कुछ एन्क्रिप्टेड पासवर्ड `AAA` से शुरू होते हैं। इसके परिणामस्वरूप `password LIKE 'AAA%'` जैसी SQL क्वेरी बनती है, जिससे हमलावर धीरे-धीरे पासवर्ड brute-force कर सकते हैं। URL में पैरामीटर जोड़ते समय, वे स्वचालित रूप से एक SQL क्वेरी में जोड़ दिए जाते हैं। पैरामीटर के नाम ठीक से escape नहीं किए जाते हैं। इस व्यवहार का उपयोग मनमाना SQL कोड इंजेक्ट करने के लिए किया जा सकता है (SQL Injection)। इन कमजोरियों का उपयोग जानकारी लीक करने और डेटाबेस की सामग्री को dump करने के लिए किया जा सकता है, और इन्हें रिलीज़ संस्करण 0.53.0 में संबोधित किया गया है। उपयोगकर्ताओं को अपग्रेड करने की सलाह दी जाती है। इस कमजोरी के लिए कोई ज्ञात workaround नहीं हैं।

• CVE-2024-47062PoC

  CVE-2024-47062 PoC