PT-2024-2061 · Pixelfed · Pixelfed

Thisismissem · Publicado 2024-02-12 · Atualizado 2024-10-11 · CVE-2024-25108

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do Pixelfed 0.10.4 a 0.11.9

Descrição

O problema decorre de verificações de autorização inadequadas e insuficientes durante o processamento de solicitações, permitindo que invasores acessem mais funcionalidades do que o previsto, incluindo recursos administrativos e de moderação. Isso afeta todos os usuários locais de um servidor Pixelfed e pode comprometer a capacidade de federação do servidor. É necessária alguma interação do usuário para criar as condições para a vulnerabilidade, mas os invasores podem realizar o ataque de forma retardada, sem interação ativa do usuário. Existe uma prova de conceito, e a vulnerabilidade foi corrigida na versão 0.11.11.

Os detalhes técnicos sobre a exploração incluem:

• Endpoints da API: Por exemplo, /api/admin/config/update pode ser explorado com um token de acesso com escopo read para realizar ações administrativas.
• Parâmetros ou variáveis vulneráveis: Tokens de acesso com escopo read podem ser usados para realizar ações que exigem escopos de privilégios mais elevados, como follow ou admin:write.
• Nomes de funções: A vulnerabilidade explora a verificação inadequada das permissões do aplicativo/cliente OAuth, permitindo o acesso a funcionalidades não autorizadas.

Recomendações

• Para as versões 0.10.4 a 0.11.9, atualize para a versão 0.11.11 para corrigir a vulnerabilidade.
• Como solução temporária, considere restringir o acesso às funcionalidades administrativas e de moderador até que a atualização possa ser aplicada.
• Evite usar o acesso a

Exploit

Correção

Incorrect Authorization

Improper Authorization

Enumeração de Fraquezas

CWE-863

CWE-285

CWE-280

Identificadores relacionados

BDU:2024-01951

CVE-2024-25108

GHSA-GCCQ-H3XJ-JGVF

Produtos afetados

Pixelfed

Referências · 19

• 🔥 https://github.com/pixelfed/pixelfed/security/advisories/GHSA-gccq-h3xj-jgvf · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/25xxx/CVE-2024-25108.json · Exploit
• https://github.com/pixelfed/pixelfed · Nota
• https://github.com/pixelfed/pixelfed/commit/7e47d6dccb0393a2e95c42813c562c854882b037 · Correção
• https://github.com/pixelfed/pixelfed/commit/fd7f5dbba13818f60d1c2b3ab110b499e996aa81 · Nota
• https://github.com/pixelfed/pixelfed/commit/fd7f5dbb · Nota
• https://bdu.fstec.ru/vul/2024-01951 · Nota de Segurança
• https://t.me/cvenotify/97897 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-25108 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-25108 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-gccq-h3xj-jgvf · Aviso do Fabricante
• https://twitter.com/the_yellow_fall/status/1757105959800045705 · Publicação no Twitter
• https://t.me/pentestingnews/43607 · Publicação no Telegram
• https://twitter.com/fridaysecurity/status/1757106137021784285 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1757139004770640002 · Publicação no Twitter