PT-2024-28434 · Unknown+1 · Parse Server+1

Smile Thanapattheerakul · Publicado 2024-07-01 · Atualizado 2024-07-10 · CVE-2024-39309

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Parse Server anteriores à 6.5.7

Versões do Parse Server anteriores à 7.1.0

Descrição

Uma vulnerabilidade no Parse Server permite a injeção de SQL quando configurado para usar o banco de dados PostgreSQL. Esse problema permite que invasores remotos contornem a autenticação nas instalações afetadas. Não há informações sobre o número estimado de dispositivos potencialmente afetados em todo o mundo ou sobre incidentes reais em que essa vulnerabilidade tenha sido explorada. A vulnerabilidade pode ser explorada sem a necessidade de autenticação.

Recomendações

Para versões anteriores à 6.5.7, atualize para a versão 6.5.7 ou posterior para resolver o problema.

Para versões anteriores à 7.1.0, atualize para a versão 7.1.0 ou posterior para resolver o problema.

Como solução temporária, considere restringir o acesso ao banco de dados PostgreSQL até que um patch seja aplicado. Evite usar a função literalizeRegexPart nos endpoints da API afetados até que o problema seja resolvido.

Exploit

Correção

Authentication Bypass Using an Alternate Path or Channel

SQL injection

Enumeração de Fraquezas

CWE-288

CWE-89

Identificadores relacionados

BIT-PARSE-2024-39309

CVE-2024-39309

GHSA-C2HR-CQG6-8J6R

ZDI-24-896

Produtos afetados

Parse Server

Postgresql

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/39xxx/CVE-2024-39309.json · Exploit
• https://github.com/parse-community/parse-server · Nota
• https://github.com/parse-community/parse-server/commit/2edf1e4c0363af01e97a7fbc97694f851b7d1ff3 · Nota
• https://github.com/parse-community/parse-server/commit/f332d54577608c5ad927255e06d8c694e2e0ff5b · Nota
• https://github.com/parse-community/parse-server/security/advisories/GHSA-c2hr-cqg6-8j6r · Nota
• https://github.com/parse-community/parse-server/pull/9167 · Nota
• https://github.com/parse-community/parse-server/pull/9168 · Nota
• https://zerodayinitiative.com/advisories/ZDI-24-896 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-parse-2024-39309 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-39309 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-c2hr-cqg6-8j6r · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-39309 · Nota de Segurança
• https://twitter.com/SystemTek_UK/status/1810988123242799565 · Publicação no Twitter