CVE-2025-70829: Datart における情報漏洩

中文文档

1. 脆弱性の概要

CVE ID: CVE-2025-70829
製品: Datart
バージョン: v1.0.0-rc.3
脆弱性タイプ: 情報漏洩

Datart v1.0.0-rc.3 における情報漏洩の脆弱性により、認証済みの攻撃者はカスタム H2 JDBC 接続文字列を介して機密データにアクセスできます。アプリケーションを自身の内部データベースファイルに接続させることで、攻撃者はユーザー資格情報や構成詳細を含むシステムテーブルにクエリを実行できます。

2. 再現手順

前提条件

• Datart ダッシュボードへの認証済みアクセス

手順

1. Datart システム (v1.0.0-rc.3) に ログイン します。
2. "データソース" セクションに移動します。
3. 新規ソースを作成 をクリックし、タイプ "H2" を選択します。
4. 設定で、以下の悪意のある JDBC URL を入力してローカルの内部データベースファイルを指定します：
   root@kitploit:~

   jdbc:h2:file:./bin/h2/datart.demo;MODE=MySQL
   

5. "接続テスト" をクリックして内部システムデータベースへのアクセスを確認します。
6. データソースを保存します。
7. SQL エディタ (またはこのソースを使用してチャートを作成) を使用して任意のクエリを実行します。

3. 機密情報の取得

ユーザー資格情報のダンプとJWTの偽造

データベースからユーザーのパスワードハッシュを取得することにより、攻撃者は有効な JWT トークンを偽造し、任意のユーザー (例: 管理者) になりすますことができます。これは、アプリケーションがハードコードされた秘密鍵 (d@a$t%a^r&a*t) を使用し、トークンペイロードにパスワードハッシュの Java hashCode() を含めるためです。

SQL クエリ:

SELECT id, username, email, password, name FROM user;

悪用方法: 取得した password ハッシュを jwttest.py と共に使用して、任意のユーザーログイン用の有効な Bearer トークンを生成します。

データソースのダンプと復号

攻撃者は、他の接続済みデータソースの構成も取得できます。

SQL クエリ:

SELECT * FROM source;

復号:

source テーブルの config フィールドは、多くの場合 AES を使用して暗号化されています。アプリケーションはデフォルトのハードコードされたセキュリティキーを使用します:

デフォルトのセキュリティキー: d@a$t%a^r&a*t

提供されている Decrypt.java ユーティリティ (このデフォルトキーを含む) を使用してこれらの値を復号し、外部データベースの平文の資格情報を取得できます。