CVE-2024-31218

Resumo

Webhood é um scanner de URL auto-hospedado usado para analisar sites de phishing e maliciosos. As imagens de contêiner do backend do Webhood nas versões 0.9.0 e anteriores estão sujeitas à vulnerabilidade de Autenticação Ausente para Função Crítica. Essa vulnerabilidade permite que um atacante não autenticado envie uma solicitação HTTP para a API de administração do banco de dados (Pocketbase) para criar uma conta de administrador. A API de administração do Pocketbase não verifica autenticação/autorização ao criar uma conta de administrador quando nenhuma conta de administrador foi adicionada. Em sua implantação padrão, o Webhood não cria uma conta de administrador do banco de dados. Portanto, a menos que os usuários tenham criado manualmente uma conta de administrador no banco de dados, uma conta de administrador não existirá na implantação e a implantação estará vulnerável. As versões a partir da 0.9.1 estão corrigidas. O patch cria uma conta de administrador gerada aleatoriamente se contas de administrador ainda não tiverem sido criadas, ou seja, a vulnerabilidade é explorável na implantação. Como solução alternativa, os usuários podem desabilitar completamente o acesso ao caminho de URL que começa com `/api/admins`. Com essa solução alternativa, a vulnerabilidade não é explorável via rede.

• CVE-2024-31218-WEBHOOD-LABPoC

  Laboratório baseado em Docker que reproduz o CVE-2024-31218, uma falha de criação de administrador do PocketBase sem autenticação no Webhood, com PoC, deteção e verificação de remediação.