CVE-2024-34451

Mechanizm ochrony przed zbyt dużą liczbą prób logowania opiera się na identyfikacji adresu IP klienta. Atakujący może manipulować nagłówkiem X-Forwarded-For, podając w kolejnych żądaniach HTTP różne, spreparowane wartości adresów IP. System odczytuje te nagłówki jako różne źródła ruchu i traktuje każde żądanie jako pochodzące od innego klienta, co skutkuje pominięciem licznika prób i mechanizmu blokady. W rezultacie atakujący może w sposób nieograniczony próbować odgadnąć hasło bez ryzyka zablokowania.

Atakujący może przeprowadzić skuteczny atak brute-force na konta użytkowników Ghost CMS, co prowadzi do nieautoryzowanego dostępu do panelu administracyjnego oraz potencjalnego przejęcia pełnej kontroli nad platformą i jej zawartością.

Należy zaktualizować Ghost CMS do wersji wyższej niż 5.85.1 zgodnie z informacjami w referencjach producenta. Producent wskazuje ponadto, że Ghost powinien być instalowany za reverse proxy skonfigurowanym tak, aby akceptował wyłącznie zaufane nagłówki X-Forwarded-For — jest to zalecana mitigacja architektoniczna niezależnie od wersji oprogramowania.

Ghost CMS w wersjach do 5.85.1 włącznie, instalacje bez poprawnie skonfigurowanego reverse proxy filtrującego nagłówki X-Forwarded-For.

Producent (Ghost) zajął stanowisko, że odpowiedzialność za filtrowanie nagłówków X-Forwarded-For spoczywa na warstwie reverse proxy, a nie na samej aplikacji. Instalacje bez właściwie skonfigurowanego proxy pozostają podatne nawet po aktualizacji, jeśli nagłówki te nie są odpowiednio weryfikowane.