PT-2024-31405 · Fides+1 · Fides+1
Grmpyninja
·
Publicado
2024-09-04
·
Atualizado
2024-09-06
·
CVE-2024-45053
CVSS v3.1
9.1
Crítica
| Vetor | AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Fides 2.19.0 a 2.43.x
Descrição
O recurso de modelos de e-mail do Fides utiliza o Jinja2 sem a devida sanitização de entradas ou restrições no ambiente de renderização, permitindo a injeção de modelos no lado do servidor (Server-Side Template Injection), o que possibilita a execução remota de código por usuários privilegiados. Um usuário privilegiado refere-se a um usuário da interface de usuário administrativa com a função padrão
Owner ou Contributor, que pode escalar seu acesso e executar código no contêiner do servidor web Fides subjacente, onde a função de renderização de modelos Jinja é executada. A vulnerabilidade permite que um invasor com privilégios suficientes execute código arbitrário remotamente e escale seus privilégios para os de um usuário no contêiner do servidor web Fides, concedendo controle sobre o aplicativo do servidor web Fides e acesso não autorizado a recursos integrados.Recomendações
Para as versões 2.19.0 a 2.43.x do Fides, atualize para a versão 2.44.0 ou posterior para proteger seu sistema contra essa ameaça.
Como solução alternativa temporária, considere restringir o acesso ao recurso de Modelos de E-mail para usuários não privilegiados até que um patch seja aplicado.
Restrinja o acesso ao endpoint da API
PUT /api/v1/messaging/templates/ para minimizar o risco de exploração.Evite usar o escopo
messaging-template:update para clientes OAuth até que o problema seja resolvido.No momento, não há outras informações sobre soluções alternativas adicionais.
Exploit
Correção
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Fides
Jinja2