CVE-2024-46627 - Controllo di accesso errato in BECN DATAGERRY v2.2 consente agli attaccanti di > eseguire comandi arbitrari tramite richieste web appositamente create.

DATAGERRY v2.2 non dispone di controllo degli accessi nella REST API per i seguenti endpoint:

/rest/users/<id>/settings/ (GET, POST)

/rest/users/<id>/settings/<setting> (DELETE, PUT)

Ciò consente a un attaccante di leggere le impostazioni, crearle, eliminarle e aggiornarle di qualsiasi utente senza autenticazione.

Informazioni aggiuntive

• Per riprodurre il problema è possibile utilizzare il setup docker qui: https://datagerry.readthedocs.io/en/latest/admin_guide/setup.html (al 25 settembre 2024).
• È possibile determinare payload validi dalle informazioni qui: https://datagerry.readthedocs.io/en/latest/api/rest/user-management.html#settings
• Vedere i seguenti passaggi di riproduzione con immagini: https://daly.wtf/cve-2024-46627-incorrect-access-control-in-becn-datagerry-v2-2-allows-attackers-to-execute-arbitrary-commands-via-crafted-web-requests/

Si prevede che questo venga corretto nella prossima release.

Ref: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-46627