Istraživači sigurnosti su otkrili višestruke kritične propuste u Appsmithu, popularnoj platformi za razvojne programere otvorenog koda za izgradnju internih aplikacija.
Najviše zabrinjava CVE-2024-55963, koji omogućava neautorizovanim napadačima da izvrše proizvoljne sistemske komande na serverima koji pokreću podrazumijevane instalacije Appsmith verzija od 1.20 do 1.51.
CVE-2024-55963 – Daljinsko izvršavanje koda kao PostgreSQL korisnik
Appsmith, koji pomaže organizacijama da naprave kontrolne table, administrativne panele i alate za korisničku podršku, isporučuje se s lokalnom PostgreSQL bazom podataka namijenjenom za praksu i učenje.
Rhino Security Labs je otkrio da je ova baza podataka bila kritično pogrešno konfigurisana u svojoj zadanoj instalaciji.
Konfiguracijski fajl za PostgreSQL autentifikaciju (pg_hba.conf) sadržavao je postavke koje su omogućavale bilo kojem lokalnom korisniku da se poveže kao bilo koji PostgreSQL korisnik bez potrebe za lozinkom.
Ranjivost je postala iskoristiva jer Appsmith-ova zadana konfiguracija dozvoljava registraciju novih korisnika. Napadač može registrovati nalog, kreirati radni prostor, dodati novu aplikaciju, a zatim se povezati na pogrešno konfigurisanu lokalnu PostgreSQL bazu podataka.
Zaustavite napade prije nego što počnu, pokretani 97% precizne neuronske mreže za otkrivanje sajber napada
Jednom kada se poveže, napadač može iskoristiti PostgreSQL funkciju COPY FROM PROGRAM da izvrši proizvoljne sistemske komande sa privilegijama korisnika PostgreSQL.
Tehnički put eksploatacije
Eksploatacija dokaza koncepta koju su demonstrirali istraživači koristila je sljedeće SQL naredbe:
Ova jednostavna sekvenca je omogućila napadačima da kreiraju privremenu tabelu, izvrše naredbu Unix ‘cat’ za čitanje sistemskih datoteka, dohvat rezultata i uklanjanje dokaza ispuštanjem tabele.
Sigurnosna revizija je također otkrila još dvije značajne ranjivosti:
CVE-2024-55964: Ranjivost Nesigurne Direct Object Reference omogućila je korisnicima s minimalnim dozvolama “App Viewer” pristup SQL bazama podataka iskorištavanjem predvidljivih ID-ova izvora podataka i krajnje točke API-ja “/api/v1/datasources/[datasource-id]/schema-preview”.
CVE-2024-55965: Ranjivost uskraćivanja usluge omogućila je korisnicima sa ograničenim dozvolama da uzastopno pokreću ponovno pokretanje aplikacije putem pokvarene kontrole pristupa u funkcionalnosti API-ja za ponovno pokretanje.
Uticaj ranjivosti
Kombinacija ovih ranjivosti stvorila je značajan sigurnosni rizik za organizacije koje koriste Appsmith.
Najozbiljniji problem, CVE-2024-55963, u suštini je obezbedio put za potpunu kompromitaciju sistema sa pozicije koja nije autentifikovana. Svaki napadač koji je otkrio instalaciju Appsmith organizacije mogao bi potencijalno:
- Registrirajte korisnički račun
- Kreirajte radni prostor i aplikaciju
- Povežite se na lokalnu PostgreSQL bazu podataka
- Izvršiti proizvoljne sistemske naredbe
- Steknite uporan pristup osnovnom servisu
Appsmith je sarađivao sa Rhino Security Labs kako bi riješio sve tri ranjivosti:
CVE-2024-55963 (Daljinsko izvršavanje koda): Zakrpljen u verziji 1.52 sa PR #37068, koji je ojačao PostgreSQL konfiguraciju i implementirao autentifikaciju zasnovanu na lozinci za internu bazu podataka.
CVE-2024-55964 (IDOR): Ovo je popravljeno u verziji 1.49 sa PR #37308, dodavanjem odgovarajućih kontrola pristupa zasnovanih na ulozi ranjivoj krajnjoj tački API-ja .
CVE-2024-55965 (Odbijanje usluge): Riješeno u verziji 1.48 sa PR #37227, implementacijom ispravnih provjera kontrole pristupa za funkcionalnost ponovnog pokretanja.
Organizacije koje pokreću Appsmith instance trebale bi odmah nadograditi na verziju 1.52 ili noviju kako bi se zaštitile od svih identifikovanih ranjivosti.
Istraživači sigurnosti objavili su detaljne tehničke analize i alate za detekciju, uključujući Nuclei šablone za skeniranje ranjivih instanci.
Izvor: CyberSecurityNews
