PT-2022-23167 · Unknown · Parse Server

Mtrezza + 1 · Publicado 2022-09-07 · Atualizado 2024-03-06 · CVE-2022-36079

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Parse Server anteriores à 4.10.14

Versões do Parse Server anteriores à 5.2.5

Descrição

Campos internos (chaves utilizadas internamente pelo Parse Server, precedidas pelo prefixo ) e campos protegidos (definidos pelo usuário) podem ser utilizados como restrições de consulta. Esses campos são removidos pelo Parse Server e só são retornados ao cliente usando uma chave mestra válida. No entanto, usando restrições de consulta, esses campos podem ser adivinhados por enumeração até que o Parse Server retorne um objeto de resposta. A vulnerabilidade pode ser explorada usando o objeto query. where para adivinhar campos internos e protegidos.

Recomendações

Para versões anteriores à 4.10.14, atualize para a versão 4.10.14 ou posterior.

Para versões anteriores à 5.2.5, atualize para a versão 5.2.5 ou posterior.

Como solução alternativa temporária, implemente um Parse Cloud Trigger beforeFind e remova manualmente as restrições de consulta, como excluir chaves que começam com do objeto query. where.

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

BIT-PARSE-2022-36079

CVE-2022-36079

GHSA-2M6G-CRV8-P3C6

Produtos afetados

Parse Server

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/36xxx/CVE-2022-36079.json · Exploit
• https://github.com/parse-community/parse-server · Nota
• https://github.com/parse-community/parse-server/commit/e39d51bd329cd978589983bd659db46e1d45aad4 · Correção
• https://github.com/parse-community/parse-server/issues/8144 · Nota
• https://github.com/parse-community/parse-server/releases/tag/5.2.5 · Nota
• https://github.com/parse-community/parse-server/releases/tag/4.10.14 · Nota
• https://github.com/parse-community/parse-server/commit/634c44acd18f6ee6ec60fac89a2b602d92799bec · Correção
• https://github.com/parse-community/parse-server/issues/8143 · Nota
• https://github.com/parse-community/parse-server/security/advisories/GHSA-2m6g-crv8-p3c6 · Nota
• https://osv.dev/vulnerability/CVE-2022-36079 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-36079 · Nota de Segurança
• https://t.me/cibsecurity/49407 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-parse-2022-36079 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-2m6g-crv8-p3c6 · Aviso do Fabricante