Kener हिडन मॉनिटर सूचना प्रकटीकरण PoC

यह रिपॉज़िटरी Kener के सार्वजनिक मॉनिटर एंडपॉइंट्स में एक सूचना प्रकटीकरण (CWE-200) समस्या का परीक्षण करने के लिए एक छोटा Python प्रूफ-ऑफ-कॉन्सेप्ट शामिल करती है।

प्रभावित Kener संस्करण 4.0.0 से 4.1.5 तक हैं, और इसे 4.1.6 में ठीक किया गया है

https://www.rapid7.com/db/vulnerabilities/cve-2026-105030/

यह समस्या टैग-आधारित मॉनिटर लुकअप से जुड़ी है जो क्वेरी को ठीक से फ़िल्टर न किए जाने पर छिपे हुए या निष्क्रिय मॉनिटर को उजागर कर सकती है।

यह PoC निम्नलिखित के लिए है:

• स्थानीय विकास वातावरण
• अधिकृत सुरक्षा परीक्षण
• नियंत्रित वातावरण में पैच/फिक्स को सत्यापित करना

इस PoC का उपयोग अनधिकृत लक्ष्यों के विरुद्ध न करें

दायरा

यह PoC प्रदर्शित करता है कि एक छिपा हुआ या निष्क्रिय मॉनिटर अभी भी सार्वजनिक एंडपॉइंट्स द्वारा लौटाया जा सकता है जब लुकअप निम्नलिखित जैसे फ़िल्टरिंग को लागू नहीं करता:

• status = ACTIVE
• is_hidden = NO

ठीक किया गया व्यवहार यह है कि इन एंडपॉइंट्स को छिपे हुए या निष्क्रिय मॉनिटर के लिए 404 / कोई मेल नहीं लौटाना चाहिए।

पूर्वापेक्षाएँ

• Python 3.9+
• requests पैकेज
• Kener का एक स्थानीय या परीक्षण इंस्टेंस
• परीक्षण मॉनिटर बनाने के लिए डेटाबेस तक पहुँच

निर्भरताएँ इंस्टॉल करें:

python3 -m pip install requests

त्वरित शुरुआत

1. अपने Kener ऐप को स्थानीय रूप से शुरू करें
2. एक परीक्षण मॉनिटर बनाएँ जो छिपा हुआ और निष्क्रिय हो
3. PoC स्क्रिप्ट चलाएँ
4. ठीक किए गए रिलीज़ के साथ व्यवहार की तुलना करें

एक परीक्षण मॉनिटर बनाएँ

यदि आपके पास डेटाबेस पहुँच है, तो एक मॉनिटर बनाएँ जो सार्वजनिक रूप से दिखाई नहीं देना चाहिए।

Postgres के लिए:

INSERT INTO monitors (
  tag, name, description, status, is_hidden,
  category_name, monitor_type, cron, default_status,
  created_at, updated_at
) VALUES (
  'internal-secret-monitor',
  'Internal Secret Monitor',
  'Hidden/inactive monitor used for PoC',
  'INACTIVE',
  'YES',
  'Home',
  'HTTP',
  '* * * * *',
  'UP',
  NOW(),
  NOW()
);

यदि आवश्यक हो तो आप एक अलग टैग नाम का भी उपयोग कर सकते हैं।

सुनिश्चित करें कि रिकॉर्ड यह है:

• status = 'INACTIVE' या अन्यथा सक्रिय नहीं
• is_hidden = 'YES'

अब PoC स्क्रिप्ट चलाएँ।

कमज़ोर बिल्ड

यदि एप्लिकेशन कमज़ोर है, तो एक या अधिक एंडपॉइंट्स लौटा सकते हैं:

• HTTP 200
• JSON या HTML जो दर्शाता है कि एक मॉनिटर मौजूद है
• मॉनिटर मेटाडेटा जैसे नाम, अपटाइम, लेटेंसी, स्थिति, टाइमस्टैम्प

यह दर्शाता है कि छिपा हुआ/निष्क्रिय मॉनिटर एक सार्वजनिक API के माध्यम से उजागर किया जा रहा है।

ठीक किया गया बिल्ड

उचित फ़िल्टरिंग के साथ, प्रतिक्रिया इसके बजाय यह होनी चाहिए:

• HTTP 404
• या एक खाली परिणाम
• या एक सामान्य "Monitor not found"

यह फिक्स के बाद अपेक्षित व्यवहार है:

const monitors = await db.getMonitors({
  tag,
  status: GC.ACTIVE,
  is_hidden: GC.NO,
});

यह क्यों मायने रखता है

समस्या केवल टैग की गोपनीयता नहीं है। समस्या यह है कि एक सार्वजनिक एंडपॉइंट को कभी भी छिपे हुए या निष्क्रिय मॉनिटर डेटा को प्रकट नहीं करना चाहिए। यदि एक हमलावर किसी भी तरह से एक मॉनिटर टैग सीख लेता है, तो वे निम्नलिखित तक पहुँच सकते हैं:

• अपटाइम विवरण
• लेटेंसी चार्ट
• रखरखाव विंडो
• घटना इतिहास
• परिचालन मेटाडेटा

हमलावर को अभी भी किसी तरह टैग ढूंढना होगा, अनुमान लगाकर, ब्रूटफोर्स द्वारा, या अन्य साधनों से।

समस्या निवारण

एंडपॉइंट 404 लौटाता है जब इसे 200 होना चाहिए

जाँच करें कि:

• मॉनिटर मौजूद है
• टैग बिल्कुल मेल खाता है
• मॉनिटर अपेक्षित रूप से छिपा हुआ/निष्क्रिय है

कोई प्रतिक्रिया नहीं / कनेक्शन अस्वीकृत

सुनिश्चित करें कि ऐप स्थानीय रूप से चल रहा है और पोर्ट मेल खाता है:

BASE_URL=http://localhost:3000

ऐप में HTTPS सक्षम है

सही URL का उपयोग करें, उदाहरण के लिए:

BASE_URL=https://localhost:3000

कानूनी और नैतिक उपयोग

इस PoC का उपयोग केवल:

• अपने स्वयं के परीक्षण इंस्टेंस पर
• स्थानीय विकास वातावरण में
• उन सिस्टमों पर जिनका परीक्षण करने के लिए आपको स्पष्ट रूप से अधिकृत किया गया है

अनुमति के बिना बाहरी या तृतीय-पक्ष सिस्टमों के विरुद्ध इसे न चलाएँ।

सारांश

यह PoC जाँचता है कि क्या एक छिपा हुआ या निष्क्रिय मॉनिटर टैग अभी भी सार्वजनिक Kener API एंडपॉइंट्स के माध्यम से सुलभ है।

• कमज़ोर व्यवहार: सार्वजनिक API छिपे हुए/निष्क्रिय मॉनिटर डेटा को प्रकट करता है
• ठीक किया गया व्यवहार: केवल सक्रिय, गैर-छिपे हुए मॉनिटर लौटाए जाते हैं
• लक्ष्य: नियंत्रित वातावरण में सुरक्षा पैच को सत्यापित करना