Fabsx00

**Nome do software vulnerável e versões afetadas** Versões do Graylog 4.3.0 a 5.1.10 Versões do Graylog 4.3.0 a 5.2.3 **Descrição** A vulnerabilidade permite que se realize uma reautenticação utilizando um cookie de sessão existente para reutilizar esse ID de sessão, mesmo que seja com credenciais de usuário diferentes. Isso poderia ser usado para obter acesso elevado a uma sessão de login existente do Graylog, desde que o usuário mal-intencionado conseguisse injetar com sucesso seu cookie de sessão no navegador de outra pessoa. A complexidade de tal ataque é alta, pois requer a apresentação de uma tela de login falsificada e a injeção de um cookie de sessão em um navegador existente, potencialmente por meio de um ataque de cross-site scripting. Nenhum ataque desse tipo foi descoberto. O uso de expiração curta de sessão e logouts explícitos de sessões não utilizadas podem ajudar a limitar o vetor de ataque. Um proxy poderia ser utilizado para limpar o cookie de `autenticação` da URL do servidor Graylog para o endpoint “/api/system/sessions”, já que esse é o único vulnerável. **Recomendações** Para as versões 4.3.0 a 5.1.10 do Graylog, atualize para a versão 5.1.11 ou posterior para resolver o problema. Para as versões 4.3.0 a 5.2.3 do Graylog, atualize para a versão 5.2.4 ou posterior para resolver o problema. Como solução alternativa temporária, considere usar expiração curta de sessão e logouts explícitos de sessões não utilizadas para limitar o vetor de ataque. Restrinja o acesso ao endpoint “/api/system/sessions” limpando o cookie `authentication` da URL do servidor Graylog usando um proxy.

**Nome do software vulnerável e versões afetadas** Versões do Graylog 2.0.0 a 5.1.10 Versões do Graylog 5.2.0 a 5.2.3 **Descrição** A vulnerabilidade permite que classes arbitrárias sejam carregadas e instanciadas por meio de uma solicitação HTTP PUT para o endpoint “/api/system/cluster config/”. O sistema de configuração de cluster do Graylog utiliza nomes de classe totalmente qualificados como chaves de configuração e, para validar a existência da classe solicitada, o Graylog carrega a classe utilizando o carregador de classes. Se um usuário com as permissões adequadas realizar a solicitação, classes arbitrárias com construtores String de 1 argumento podem ser instanciadas, executando código arbitrário durante a instanciação da classe. No caso de uso específico de `java.io.File`, o comportamento da pilha interna do servidor web levará à exposição de informações ao incluir todo o conteúdo do arquivo na resposta à solicitação REST. **Recomendações** Para as versões 2.0.0 a 5.1.10 do Graylog, atualize para a versão 5.1.11 ou posterior. Para as versões 5.2.0 a 5.2.3 do Graylog, atualize para a versão 5.2.4 ou posterior. Como solução temporária, considere restringir o acesso ao endpoint “/api/system/cluster config/” para minimizar o risco de exploração. Restrinja o acesso à classe `java.io.File` para evitar a exposição de informações. Certifique-se de que apenas usuários autorizados com as permissões `clusterconfigentry:create` e `clusterconfigentry:edit` possam realizar solicitações ao endpoint vulnerável.