PT-2024-21056 · Misskey · Misskey

Tesaguri · Publicado 2024-02-19 · Atualizado 2025-02-05 · CVE-2024-25636

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Misskey anteriores à 2024.2.0

Descrição

O Misskey é uma plataforma de mídia social de código aberto e descentralizada com suporte a ActivityPub. O problema surge ao buscar objetos Activity Streams remotos, pois o Misskey não verifica se a resposta do servidor remoto possui um valor de cabeçalho Content-Type do tipo de mídia Activity Streams. Isso permite que um agente mal-intencionado envie um documento Activity Streams manipulado para um servidor remoto e faça com que uma instância do Misskey o busque, caso o servidor remoto aceite uploads arbitrários de usuários. A vulnerabilidade permite que um agente mal-intencionado se passe por e assuma o controle de uma conta em um servidor remoto que satisfaça propriedades específicas: permite que o agente mal-intencionado registre uma conta, aceita documentos carregados arbitrariamente por usuários e os coloca no mesmo domínio que agentes legítimos do Activity Streams, e serve documentos carregados por usuários em resposta a solicitações com um valor de cabeçalho Accept do tipo de mídia do Activity Streams.

Recomendações

Para versões anteriores à 2024.2.0, atualize para a versão 2024.2.0 ou posterior, que contém um patch para o problema. Como solução alternativa temporária, considere restringir o acesso a objetos remotos do Activity Streams até que a atualização seja aplicada. Além disso, restrinja a capacidade dos usuários de enviar documentos arbitrários para o mesmo domínio que os atores legítimos do Activity Streams e certifique-se de que os documentos enviados pelos usuários não sejam servidos em resposta a solicitações com um valor de cabeçalho Accept de

Exploit

Correção

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2024-25636

GHSA-QQRM-9GRJ-6V32

Produtos afetados

Misskey

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/25xxx/CVE-2024-25636.json · Exploit
• https://github.com/misskey-dev/misskey/security/advisories/GHSA-qqrm-9grj-6v32 · Aviso do Fabricante
• https://github.com/misskey-dev/misskey/commit/9a70ce8f5ea9df00001894809f5ce7bc69b14c8a · Correção
• https://github.com/misskey-dev/misskey/blob/2024.2.0-beta.10/packages/backend/src/core/activitypub/ApResolverService.ts#L69-L119 · Nota
• https://github.com/misskey-dev/misskey/blob/2024.2.0-beta.10/packages/backend/src/server/api/endpoints/ap/show.ts#L125-L143 · Nota
• https://github.com/misskey-dev/misskey/blob/2024.2.0-beta.10/packages/backend/src/core/activitypub/models/ApNoteService.ts#L112-L308 · Nota
• https://t.me/cvenotify/110184 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-25636 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-25636 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1759667255636373805 · Publicação no Twitter
• https://twitter.com/cracbot/status/1759820225556721747 · Publicação no Twitter