CVE-2024-31218

概要

Webhoodは、フィッシングサイトや悪意のあるサイトを分析するために使用されるセルフホスト型URLスキャナーです。Webhoodのバックエンドコンテナイメージのバージョン0.9.0以前には、重要な機能における認証の欠如の脆弱性が存在します。この脆弱性により、認証されていない攻撃者がデータベース（Pocketbase）の管理APIにHTTPリクエストを送信し、管理者アカウントを作成することが可能になります。Pocketbaseの管理APIは、管理者アカウントがまだ追加されていない場合、管理者アカウントを作成する際に認証/認可をチェックしません。デフォルトのデプロイメントでは、Webhoodはデータベース管理者アカウントを作成しません。したがって、ユーザーが手動でデータベースに管理者アカウントを作成していない限り、デプロイメントに管理者アカウントは存在せず、そのデプロイメントは脆弱です。バージョン0.9.1以降では修正されています。このパッチは、管理者アカウントがまだ作成されていない場合、つまりデプロイメントで脆弱性が悪用可能な場合に、ランダムに生成された管理者アカウントを作成します。回避策として、ユーザーは`/api/admins`で始まるURLパスへのアクセスを完全に無効にすることができます。この回避策により、脆弱性はネットワーク経由で悪用できなくなります。

• CVE-2024-31218-WEBHOOD-LABPoC

  Dockerベースのラボで、Webhoodにおける未認証のPocketBase管理者作成脆弱性であるCVE-2024-31218を再現し、PoC、検出、および修復の検証を提供します。