PT-2024-29486 · Casdoor+1 · Casdoor+1

Kevin Stubbings + 1 · Publicado 2024-08-14 · Atualizado 2024-08-30 · CVE-2024-41657

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.6

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões 1.577.0 e anteriores do Casdoor

Descrição

Existe uma falha de lógica no filtro CorsFilter do beego, permitindo que qualquer site faça solicitações entre domínios ao Casdoor na qualidade do usuário conectado. Isso se deve a um erro de lógica na verificação apenas do prefixo ao autenticar o cabeçalho Origin, permitindo que qualquer domínio crie um subdomínio válido com um prefixo de subdomínio válido. Por exemplo, um domínio pode criar um subdomínio válido como localhost.example.com, permitindo que o site faça solicitações ao Casdoor como o usuário conectado no momento.

Recomendações

Para as versões 1.577.0 e anteriores do Casdoor, como solução temporária, considere desativar a função CorsFilter até que um patch esteja disponível. Restrinja o acesso ao filtro beego para minimizar o risco de exploração. Evite usar o cabeçalho Origin nos endpoints de API afetados até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-942

CWE-697

Identificadores relacionados

CVE-2024-41657

GHSA-MCHX-7J67-8MCF

GO-2024-3087

Produtos afetados

Casdoor

Beego

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/41xxx/CVE-2024-41657.json · Exploit
• 🔥 https://securitylab.github.com/advisories/GHSL-2024-035_GHSL-2024-036_casdoor · Exploit
• https://github.com/casdoor/casdoor · Nota
• https://github.com/casdoor/casdoor/blob/v1.577.0/routers/cors_filter.go#L45 · Nota
• https://t.me/cvedetector/3691 · Publicação no Telegram
• https://twitter.com/GHSecurityLab/status/1823824179650556393 · Publicação no Twitter
• https://osv.dev/vulnerability/GO-2024-3087 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-41657 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-41657 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1825991804187025878 · Publicação no Twitter
• https://github.com/advisories/GHSA-mchx-7j67-8mcf · Nota
• https://twitter.com/VulmonFeeds/status/1826023965229220180 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-mchx-7j67-8mcf · Aviso do Fabricante
• https://t.me/cvenotify/91430 · Publicação no Telegram