CVE-2025-70829: Exposição de Informações no Datart

Documentação em Chinês

1. Visão Geral da Vulnerabilidade

ID do CVE: CVE-2025-70829
Produto: Datart
Versão: v1.0.0-rc.3
Tipo de Vulnerabilidade: Exposição de Informações

Uma vulnerabilidade de exposição de informações no Datart v1.0.0-rc.3 permite que atacantes autenticados acessem dados sensíveis por meio de uma string de conexão H2 JDBC personalizada. Ao fazer com que o aplicativo se conecte ao seu próprio arquivo de banco de dados interno, os atacantes podem consultar tabelas do sistema que contêm credenciais de usuário e detalhes de configuração.

2. Etapas de Reprodução

Pré-requisitos

• Acesso autenticado ao painel do Datart.

Etapas

1. Faça login no sistema Datart (v1.0.0-rc.3).
2. Navegue até a seção "Data Source".
3. Clique para criar uma nova fonte e selecione o tipo "H2".
4. Na configuração, insira a seguinte URL JDBC maliciosa para apontar para o arquivo de banco de dados interno local:
   root@kitploit:~

   jdbc:h2:file:./bin/h2/datart.demo;MODE=MySQL
   

5. Clique em "Test Connection" para confirmar o acesso ao banco de dados interno do sistema.
6. Salve a fonte de dados.
7. Use o editor SQL (ou crie um gráfico usando esta fonte) para executar consultas arbitrárias.

3. Recuperação de Informações Sensíveis

Extrair Credenciais de Usuário e Forjar JWT

Ao recuperar o hash da senha do usuário a partir do banco de dados, os atacantes podem forjar um token JWT válido para se passar por qualquer usuário (por exemplo, administrador). Isso ocorre porque o aplicativo usa uma chave secreta fixa no código (d@a$t%a^r&a*t) e inclui o hashCode() Java do hash da senha no payload do token.

Consulta SQL:

SELECT id, username, email, password, name FROM user;

Exploração: Use o hash password recuperado com o jwttest.py para gerar um token Bearer válido para efetuar login como qualquer usuário.

Extrair e Descriptografar Fontes de Dados

Os atacantes também podem recuperar a configuração de outras fontes de dados conectadas.

Consulta SQL:

SELECT * FROM source;

Descriptografia:

O campo config na tabela source geralmente é criptografado usando AES. O aplicativo usa uma chave de segurança padrão embutida no código:

Chave de Segurança Padrão: d@a$t%a^r&a*t

Você pode usar o utilitário Decrypt.java fornecido (que inclui essa chave padrão) para descriptografar esses valores e obter credenciais em texto claro para bancos de dados externos.