CVE-2024-52295

DataEase: hardkodowany sekret JWT umożliwia przejęcie usługi

CVSS 9.3v4.0pub. 2024-11-13upd. 2025-02-20

DataEase przed wersją 2.10.2 zawiera hardkodowany sekret JWT oraz stałe wartości UID i OID w kodzie źródłowym. Pozwala to atakującemu na sfałszowanie tokenów JWT i pełne przejęcie kontroli nad usługą bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

DataEase is an open source data visualization analysis tool. Prior to 2.10.2, DataEase allows attackers to forge jwt and take over services. The JWT secret is hardcoded in the code, and the UID and OID are hardcoded. The vulnerability has been fixed in v2.10.2.

🤖 Analiza AI

Jak działa

Podatność wynika z użycia statycznego, hardkodowanego sekretu służącego do podpisywania tokenów JWT (CWE-798 — użycie zakodowanych na stałe poświadczeń). Ponieważ sekret jest osadzony bezpośrednio w kodzie źródłowym, atakujący może go odczytać i samodzielnie wygenerować dowolny, poprawnie podpisany token JWT. Dodatkowo hardkodowane wartości UID i OID ułatwiają konstruowanie tokenów podszywających się pod uprzywilejowanych użytkowników. Zdalny, nieuwierzytelniony napastnik może w ten sposób uzyskać dostęp do usługi z uprawnieniami dowolnego konta.

Skutki

Atakujący może sfałszować token JWT i przejąć pełną kontrolę nad usługą DataEase, uzyskując nieuprawniony dostęp do danych oraz funkcji administracyjnych. Narażona jest poufność i integralność przechowywanych danych.

Mitygacja

Należy zaktualizować DataEase do wersji 2.10.2 lub nowszej, w której podatność została naprawiona. Poprawka dostępna jest w repozytorium projektu (commit e755248d59543bcd668ace495f293ff735fa82e9).

Kogo dotyczy

DataEase w wersjach poprzedzających 2.10.2

Uwagi

Podatność została naprawiona w v2.10.2 zgodnie z oficjalnym security advisory GHSA-45v9-gfcv-xcq6 opublikowanym przez projekt DataEase na GitHub.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X