CVE-2025-70829: डेटार्ट में सूचना प्रकटीकरण

चीनी दस्तावेज़

1. भेद्यता अवलोकन

CVE ID: CVE-2025-70829
उत्पाद: Datart
संस्करण: v1.0.0-rc.3
भेद्यता प्रकार: सूचना प्रकटीकरण

डेटार्ट v1.0.0-rc.3 में एक सूचना प्रकटीकरण भेद्यता प्रमाणित हमलावरों को कस्टम H2 JDBC कनेक्शन स्ट्रिंग के माध्यम से संवेदनशील डेटा तक पहुँचने की अनुमति देती है। एप्लिकेशन को अपनी आंतरिक डेटाबेस फ़ाइल से कनेक्ट करने के लिए निर्देशित करके, हमलावर उपयोगकर्ता क्रेडेंशियल्स और कॉन्फ़िगरेशन विवरण वाली सिस्टम तालिकाओं को क्वेरी कर सकते हैं।

2. पुनरुत्पादन चरण

पूर्व-आवश्यकताएँ

• डेटार्ट डैशबोर्ड तक प्रमाणित पहुँच।

चरण

1. लॉग इन करें डेटार्ट सिस्टम में (v1.0.0-rc.3)।
2. "डेटा स्रोत" अनुभाग पर जाएँ।
3. नया स्रोत बनाने के लिए क्लिक करें और प्रकार "H2" चुनें।
4. कॉन्फ़िगरेशन में, स्थानीय आंतरिक डेटाबेस फ़ाइल को इंगित करने के लिए निम्नलिखित दुर्भावनापूर्ण JDBC URL दर्ज करें:
   root@kitploit:~

   jdbc:h2:file:./bin/h2/datart.demo;MODE=MySQL
   

5. आंतरिक सिस्टम डेटाबेस तक पहुँच की पुष्टि करने के लिए "कनेक्शन का परीक्षण करें" पर क्लिक करें।
6. डेटा स्रोत को सहेजें।
7. मनमानी क्वेरी निष्पादित करने के लिए SQL संपादक (या इस स्रोत का उपयोग करके एक चार्ट बनाएँ) का उपयोग करें।

3. संवेदनशील जानकारी की पुनर्प्राप्ति

उपयोगकर्ता क्रेडेंशियल डंप करें और JWT जाली बनाएँ

डेटाबेस से उपयोगकर्ता के पासवर्ड हैश को पुनर्प्राप्त करके, हमलावर किसी भी उपयोगकर्ता (जैसे, व्यवस्थापक) का रूप धारण करने के लिए एक वैध JWT टोकन जाली बना सकते हैं। ऐसा इसलिए है क्योंकि एप्लिकेशन एक हार्डकोडेड गुप्त कुंजी (d@a$t%a^r&a*t) का उपयोग करता है और टोकन पेलोड में पासवर्ड हैश का Java hashCode() शामिल करता है।

SQL क्वेरी:

SELECT id, username, email, password, name FROM user;

शोषण: मनमाने उपयोगकर्ता लॉगिन के लिए एक वैध Bearer टोकन उत्पन्न करने के लिए प्राप्त password हैश का उपयोग jwttest.py के साथ करें।

डेटा स्रोतों को डंप करें और डिक्रिप्ट करें

हमलावर अन्य कनेक्टेड डेटा स्रोतों के कॉन्फ़िगरेशन को भी पुनर्प्राप्त कर सकते हैं।

SQL क्वेरी:

SELECT * FROM source;

डिक्रिप्शन:

source तालिका में config फ़ील्ड अक्सर AES का उपयोग करके एन्क्रिप्ट किया जाता है। एप्लिकेशन एक डिफ़ॉल्ट हार्डकोडेड सुरक्षा कुंजी का उपयोग करता है:

डिफ़ॉल्ट सुरक्षा कुंजी: d@a$t%a^r&a*t

आप इन मानों को डिक्रिप्ट करने और बाहरी डेटाबेस के लिए स्पष्ट टेक्स्ट क्रेडेंशियल प्राप्त करने के लिए प्रदान की गई Decrypt.java उपयोगिता (जिसमें यह डिफ़ॉल्ट कुंजी शामिल है) का उपयोग कर सकते हैं।