CVE-2024-6303

Brak autoryzacji w Conduit API umożliwia privilege escalation

CVSS 9.9v3.1pub. 2024-06-25upd. 2024-11-21

Podatność w Conduit w wersjach do 0.7.0 włącznie polega na braku kontroli autoryzacji w Client-Server API, co pozwala uwierzytelnionemu użytkownikowi na manipulację aliasami pokoi. Może to prowadzić do przejęcia uprawnień administracyjnych na serwerze.

▸ Pokaż oryginał (EN)

Missing authorization in Client-Server API in Conduit <=0.7.0, allowing for any alias to be removed and added to another room, which can be used for privilege escalation by moving the #admins alias to a room which they control, allowing them to run commands resetting passwords, siging json with the server's key, deactivating users, and more

🤖 Analiza AI

Jak działa

Atakujący z dostępem do serwera Conduit może bez odpowiedniej autoryzacji usuwać i dodawać aliasy pokoi. Poprzez przeniesienie aliasu #admins do pokoju, który kontroluje, uzyskuje dostęp do uprzywilejowanych poleceń administracyjnych. Pozwala mu to m.in. na resetowanie haseł innych użytkowników, podpisywanie danych kluczem serwera, dezaktywację kont użytkowników oraz wykonywanie innych operacji zarezerwowanych dla administratorów.

Skutki

Atakujący może uzyskać pełne uprawnienia administracyjne na serwerze Conduit, co umożliwia mu przejęcie kont użytkowników, podpisywanie danych z użyciem klucza serwera oraz dezaktywację dowolnych kont — prowadząc do kompromitacji całej instancji.

Mitygacja

Należy zaktualizować Conduit do wersji 0.8.0 lub nowszej, wydanej 12 czerwca 2024 roku, która zawiera poprawkę tej podatności. Szczegóły dostępne w referencjach producenta: https://conduit.rs/changelog/#v0-8-0-2024-06-12

Kogo dotyczy

Conduit w wersjach 0.7.0 i wcześniejszych

Uwagi

Wersja 0.8.0 Conduit została wydana 12 czerwca 2024 roku, natomiast CVE opublikowano 25 czerwca 2024 roku — patch był zatem dostępny przed oficjalną publikacją podatności.