CVE-2024-47062

Riepilogo

Navidrome è un server e streamer di collezioni musicali open source basato sul web. Navidrome aggiunge automaticamente i parametri nell'URL alle query SQL. Questo può essere sfruttato per accedere a informazioni aggiungendo parametri come `password=...` nell'URL (ORM Leak). Inoltre, i nomi dei parametri non vengono correttamente escapati, portando a SQL Injection. Infine, il nome utente viene utilizzato in una dichiarazione `LIKE`, consentendo agli utenti di accedere con `%` al posto del proprio nome utente. Quando si aggiungono parametri all'URL, questi vengono automaticamente inclusi in una dichiarazione SQL `LIKE` (a seconda del nome del parametro). Ciò consente agli attaccanti di recuperare potenzialmente informazioni arbitrarie. Ad esempio, gli attaccanti possono utilizzare la seguente richiesta per verificare se alcune password crittografate iniziano con `AAA`. Ciò risulta in una query SQL come `password LIKE 'AAA%'`, consentendo agli attaccanti di forzare lentamente le password. Quando si aggiungono parametri all'URL, questi vengono automaticamente aggiunti a una query SQL. I nomi dei parametri non vengono correttamente escapati. Questo comportamento può essere utilizzato per iniettare codice SQL arbitrario (SQL Injection). Queste vulnerabilità possono essere utilizzate per divulgare informazioni e scaricare il contenuto del database e sono state affrontate nella versione 0.53.0. Si consiglia agli utenti di eseguire l'aggiornamento. Non ci sono workaround noti per questa vulnerabilità.

Fonti