CVE-2024-47062

概要

Navidromeは、オープンソースのWebベースの音楽コレクションサーバー兼ストリーマーです。Navidromeは、URL内のパラメータを自動的にSQLクエリに追加します。これは、URLに`password=...`のようなパラメータを追加することで情報にアクセスできる可能性があるため、悪用される可能性があります（ORMリーク）。さらに、パラメータ名が適切にエスケープされていないため、SQLインジェクションにつながります。最後に、ユーザー名が`LIKE`ステートメントで使用されるため、ユーザーは自分のユーザー名の代わりに`%`を使用してログインできる可能性があります。URLにパラメータを追加すると、それらは自動的にSQLの`LIKE`ステートメントに含まれます（パラメータ名に応じて）。これにより、攻撃者は任意の情報を取得できる可能性があります。たとえば、攻撃者は以下のリクエストを使用して、暗号化されたパスワードの一部が`AAA`で始まるかどうかをテストできます。これにより、`password LIKE 'AAA%'`のようなSQLクエリが生成され、攻撃者はパスワードをゆっくりと総当たり攻撃で特定できる可能性があります。URLにパラメータを追加すると、それらは自動的にSQLクエリに追加されます。パラメータ名は適切にエスケープされていません。この動作は、任意のSQLコードを注入するために使用される可能性があります（SQLインジェクション）。これらの脆弱性は、情報の漏えいやデータベースの内容のダンプに悪用される可能性があり、リリースバージョン0.53.0で対処されています。ユーザーはアップグレードすることをお勧めします。この脆弱性に対する既知の回避策はありません。

• CVE-2024-47062PoC

  CVE-2024-47062 PoC