CVE-2025-70829: Раскрытие информации в Datart

中文文档

1. Обзор уязвимости

CVE ID: CVE-2025-70829
Продукт: Datart
Версия: v1.0.0-rc.3
Тип уязвимости: Раскрытие информации

Уязвимость раскрытия информации в Datart v1.0.0-rc.3 позволяет аутентифицированным злоумышленникам получить доступ к конфиденциальным данным с помощью специально сформированной H2 JDBC строки подключения. Направляя приложение на подключение к его собственному внутреннему файлу базы данных, злоумышленники могут выполнять запросы к системным таблицам, содержащим учётные данные пользователей и сведения о конфигурации.

2. Шаги воспроизведения

Предварительные требования

• Аутентифицированный доступ к панели управления Datart.

Шаги

1. Войдите в систему Datart (v1.0.0-rc.3).
2. Перейдите в раздел «Источники данных».
3. Нажмите «Создать новый источник» и выберите тип «H2».
4. В конфигурации укажите следующий вредоносный JDBC URL, чтобы он указывал на локальный внутренний файл базы данных:
   root@kitploit:~

   jdbc:h2:file:./bin/h2/datart.demo;MODE=MySQL
   

5. Нажмите «Проверить соединение», чтобы подтвердить доступ к внутренней системной базе данных.
6. Сохраните источник данных.
7. Используйте SQL-редактор (или создайте диаграмму на основе этого источника), чтобы выполнять произвольные запросы.

3. Получение конфиденциальной информации

Извлечение учётных данных пользователей и подделка JWT

Извлекая хэш пароля пользователя из базы данных, злоумышленники могут подделать действительный JWT-токен, чтобы выдать себя за любого пользователя (например, администратора). Это возможно, поскольку приложение использует зашитый в код секретный ключ (d@a$t%a^r&a*t) и включает Java hashCode() хэша пароля в полезную нагрузку токена.

SQL-запрос:

SELECT id, username, email, password, name FROM user;

Эксплуатация: Используйте извлечённый хэш password вместе с jwttest.py, чтобы сгенерировать действительный Bearer-токен для входа от имени произвольного пользователя.

Извлечение и дешифрование источников данных

Злоумышленники также могут получить конфигурацию других подключённых источников данных.

SQL-запрос:

SELECT * FROM source;

Дешифрование:

Поле config в таблице source часто зашифровано с помощью AES. Приложение использует ключ безопасности по умолчанию, зашитый в код:

Ключ безопасности по умолчанию: d@a$t%a^r&a*t

Вы можете использовать предоставленную утилиту Decrypt.java (в которую включён этот ключ по умолчанию), чтобы расшифровать эти значения и получить открытые учётные данные для внешних баз данных.