Piekļuve citu lietotāju pārskatiem CERT.LV rīkā Graphoscope

§ 01. Pārskats

Graphoscope ir CERT.LV atvērtā koda analīzes platforma. Analītiķi no vienas tīmekļa saskarnes veic vaicājumus daudzos neatkarīgos datu avotos – pasīvajā DNS, klientu datubāzēs, nopludinātu piekļuves datu kopās un citos – un redz rezultātus kā saistītu entītiju grafu. Lietotājs var augšupielādēt indikatoru sarakstu pakešapstrādei: serveris veic vaicājumus visos pieslēgtajos avotos un saglabā rezultātu kā pārskatu, ko lietotājs vēlāk lejupielādē.

OffSeq konstatēja, ka lejupielādes galapunkts nesaistīja pārskatu ar tā īpašnieku. Jebkurš pieteicies lietotājs varēja iegūt jebkura cita lietotāja apstrādāto pārskatu.

§ 02. Cēlonis

downloadHandler pārbaudīja tikai to, vai pieprasījumam ir derīga sesija un vai pieprasītajā nosaukumā nav ne .., ne /. Pēc tam tas izsniedza failu ar http.ServeFile no upload/processed/ – nepārbaudot, vai fails pieder pieprasītājam.

Pārskatu nosaukumi nav slepeni. Tie veidoti pēc noteikta parauga <laikspiedols>-<sākotnējais-nosaukums>, un laikspiedols ņemts no pulksteņa ar vienas sekundes precizitāti, tādēļ laikspiedolus var secīgi izmēģināt un jāuzmin tikai sākotnējais faila nosaukums:

1# account B downloads account A's processed report2curl -sk -b attacker.jar \3  "https://HOST:8443/download?file=20260514-102943%2B03-victim-secret.txt" \4  -o stolen.bin5# HTTP 200 – the victim's full graph and indicator data

Noraidīti pieprasījumi turklāt atgrieza tukšu atbildi bez kļūdas statusa.

§ 03. Ietekme

Apstrādātajā pārskatā ir lietotāja augšupielādētais indikatoru saraksts un vaicājumu rezultāti no visiem pieslēgtajiem datu avotiem. Draudu izlūkošanas platformā tie pēc definīcijas ir sensitīvi dati: tie atklāj, kurus indikatorus analītiķis izmeklē un ko pieslēgtie avoti par tiem atgrieza.

Uzbrukumam pietiek ar parastu kontu tajā pašā instancē, ko var izveidot ikviens, jo Graphoscope atļauj pašreģistrāciju, un upura darbības nav vajadzīgas. Vienīgais nosacījums ir upura sākotnējais faila nosaukums: analītiķu bieži lietoti nosaukumi, piemēram, indicators.txt vai iocs.csv, padara minēšanu praktiski iespējamu, bet savdabīgs nosaukums to apgrūtina. Šīs atkarības dēļ CVSS vektors uzbrukuma sarežģītību novērtē kā augstu.

§ 04. Labojums

OffSeq iesniedza labojumu failā upload.go, kas katru lejupielādi autorizē pret pieprasītāja paša ierakstiem:

• faila nosaukuma filtrs papildus noraida tukšus nosaukumus, apgrieztās slīpsvītras un NUL baitus;
• apstrādātājs ielādē pieprasītāja kontu un izsniedz failu tikai tad, ja tas ir šī konta sarakstā Uploads.Out;
• noraidītiem nosaukumiem un mēģinājumiem piekļūt cita lietotāja failiem tiek atgriezts 404 Not Found un servera žurnālā ierakstīts notikums (Unauthorized download attempt).

Atkārtotā pārbaudē cita lietotāja pieprasījums atgrieza 404, bet īpašnieka paša lejupielāde joprojām atgrieza nemainītu 834 baitu pārskatu. CERT.LV izmaiņas iekļāva kā izmaiņu pieprasījumu #11.