CVE-2024-50633

CVE-2024-50633

🏆 - CVE-2024-50633: Indico BOLA भेद्यता

(Indico में BOLA भेद्यता की खोज और रिपोर्ट की गई।)

---

📜 विवरण CVE-2024-50633

Indico v3.2.9 में ब्रोकन ऑब्जेक्ट लेवल ऑथराइज़ेशन (BOLA) भेद्यता हमलावरों को API अनुरोधों में हेरफेर करके संवेदनशील उपयोगकर्ता जानकारी तक पहुँचने की अनुमति देती है।

खोज CVE-2024-50633

FOFA : title="Indico" || header="Indico"

Google Dork : intitle:"Indico" inurl:"/event"

---

🛠️ तकनीकी विवरण

1. कमजोर घटक: /api/principals
2. विधि: इस भेद्यता का शोषण करने के लिए एक निर्मित POST अनुरोध का उपयोग किया जा सकता है।
3. शोषण उदाहरण:

   POST /api/principals HTTP/2
   Content-Type: application/json
   
   {
       "values": ["User:2301"]
   }
   
   

यूज़र मान (जैसे, User:2302) को बदलकर, हमलावर किसी अन्य उपयोगकर्ता के डेटा तक पहुँच सकता है।

पुनरुत्पादन के चरण:

1. किसी Indico वेबसाइट पर पंजीकरण करें।
2. "ईवेंट बनाएँ" अनुभाग पर जाएँ और Burp Suite का उपयोग करके POST अनुरोध को कैप्चर करें।
3. values पैरामीटर को किसी अन्य उपयोगकर्ता ID में बदलें।
4. देखें कि अनधिकृत डेटा वापस आ रहा है।

🔥 प्रभाव यह भेद्यता अन्य उपयोगकर्ताओं की संवेदनशील जानकारी को उजागर कर सकती है। यह प्राधिकरण सीमाओं को तोड़ता है, जिससे संभावित डेटा लीक हो सकता है।

⚙️ प्रभावित संस्करण Indico v3.2.9 से v3.3.2

🔧 कैसे ठीक करें? [CVE-2024-50633] के लिए

नवीनतम संस्करण में अपडेट करें: सुनिश्चित करें कि आपका Indico इंस्टेंस नवीनतम पैच किए गए संस्करण में अपडेट हो, जहाँ भेद्यता को संबोधित किया गया है। अपडेट के लिए Indico के आधिकारिक रिलीज़ देखें।

संवेदनशील एंडपॉइंट्स तक पहुँच प्रतिबंधित करें: /api/principals जैसे API एंडपॉइंट्स पर सख्त पहुँच नियंत्रण लागू करें ताकि केवल अधिकृत उपयोगकर्ता ही संवेदनशील जानकारी तक पहुँच सकें। भूमिका-आधारित पहुँच नियंत्रण (RBAC) तंत्र का उपयोग करें।

इनपुट सत्यापन लागू करें: सभी API अनुरोधों में उपयोगकर्ता द्वारा प्रदान किए गए इनपुट को मान्य और स्वच्छ करें ताकि अनधिकृत पहुँच या डेटा में हेरफेर को रोका जा सके।

लॉग की निगरानी और ऑडिट करें: /api/principals पर असामान्य API अनुरोधों या अनधिकृत पहुँच प्रयासों के लिए नियमित रूप से सर्वर लॉग की निगरानी करें। इससे शोषण के प्रयासों की पहचान करने में मदद मिल सकती है।

वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करें: WAF तैनात करने से दुर्भावनापूर्ण अनुरोधों का पता लगाकर और उन्हें अवरुद्ध करके शोषण प्रयासों के खिलाफ सुरक्षा की एक अतिरिक्त परत मिल सकती है।

🕵️‍♂️ रिपोर्ट किया गया Çetin BİNİCİ