Dragonfly, otwartoźródłowy system dystrybucji plików i akceleracji obrazów oparty na P2P, zawiera na stałe zakodowany klucz tajny JWT o wartości "Secret Key". Podatność umożliwia atakującemu ominięcie uwierzytelnienia i przejęcie pełnych uprawnień administratora.
▸ Pokaż oryginał (EN)
Dragonfly is an open source P2P-based file distribution and image acceleration system. It is hosted by the Cloud Native Computing Foundation (CNCF) as an Incubating Level Project. Dragonfly uses JWT to verify user. However, the secret key for JWT, "Secret Key", is hard coded, which leads to authentication bypass. An attacker can perform any action as a user with admin privileges. This issue has been addressed in release version 2.0.9. All users are advised to upgrade. There are no known workarounds for this vulnerability.
System Dragonfly wykorzystuje tokeny JWT do weryfikacji tożsamości użytkowników. Klucz tajny służący do podpisywania i weryfikacji tych tokenów jest zakodowany na stałe w kodzie źródłowym aplikacji (hardcoded secret). Ponieważ klucz jest znany i niezmienny, atakujący może samodzielnie wygenerować poprawnie podpisany token JWT z dowolnymi uprawnieniami. W efekcie mechanizm uwierzytelnienia można w pełni ominąć bez posiadania żadnych poświadczeń.
Atakujący zdalny i nieuwierzytelniony może wykonywać dowolne działania z uprawnieniami administratora, co prowadzi do pełnego naruszenia poufności, integralności i dostępności systemu.
Należy niezwłocznie zaktualizować Dragonfly2 do wersji 2.0.9 lub nowszej. Producent nie wskazuje żadnych znanych obejść (workarounds) dla tej podatności. Patch dostępny pod adresem: https://github.com/dragonflyoss/Dragonfly2/releases/tag/v2.0.9
Dragonfly2 (dragonflyoss/Dragonfly2) — wszystkie wersje przed 2.0.9
Podatność została sklasyfikowana jako CWE-321 (Use of Hard-coded Cryptographic Key) oraz CWE-798 (Use of Hard-coded Credentials). Projekt Dragonfly jest projektem inkubacyjnym Cloud Native Computing Foundation (CNCF).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HLinuxfoundation Dragonfly
APPLinuxfoundation< 2.0.9
Powiązane podatności
Dragonfly is an open source P2P-based file distribution and image acceleration system. In versions 2.4.1-rc.0 ...
Dragonfly is an open source P2P-based file distribution and image acceleration system. Prior to 2.1.0, a peer ...
Dragonfly is an open source P2P-based file distribution and image acceleration system. Prior to 2.1.0, The /ap...
Dragonfly is an open source P2P-based file distribution and image acceleration system. Versions prior to 2.1.0...
Dragonfly is an open source P2P-based file distribution and image acceleration system. Prior to 2.1.0, the pro...