W platformie Directus (wersje od 10.8.0 do przed 11.9.3) istnieje krytyczna podatność w mechanizmie aktualizacji plików, umożliwiająca nieuwierzytelnionemu atakującemu modyfikowanie istniejących plików oraz wgrywanie nowych plików z dowolną zawartością i rozszerzeniem. Zagrożenie jest szczególnie poważne, ponieważ nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika.
▸ Pokaż oryginał (EN)
Directus is a real-time API and App dashboard for managing SQL database content. From 10.8.0 to before 11.9.3, a vulnerability exists in the file update mechanism which allows an unauthenticated actor to modify existing files with arbitrary contents (without changes being applied to the files' database-resident metadata) and / or upload new files, with arbitrary content and extensions, which won't show up in the Directus UI. This vulnerability is fixed in 11.9.3.
Podatność wynika z nieprawidłowej kontroli ścieżek plików (CWE-73) oraz braku weryfikacji typów przesyłanych plików (CWE-434) w mechanizmie aktualizacji plików Directus. Nieautoryzowany aktor może modyfikować treść istniejących plików na serwerze bez aktualizowania powiązanych metadanych w bazie danych — co utrudnia wykrycie ingerencji. Dodatkowo możliwe jest wgranie całkowicie nowych plików z dowolnym rozszerzeniem i zawartością, które nie są widoczne w interfejsie Directus UI, co dodatkowo maskuje działanie atakującego.
Atakujący może nadpisać zawartość dowolnych plików na serwerze lub umieścić nowe pliki z potencjalnie złośliwą zawartością (np. webshell), co może prowadzić do kompromitacji integralności aplikacji, wykonania kodu po stronie serwera lub trwałego przyczółka w systemie.
Należy niezwłocznie zaktualizować Directus do wersji 11.9.3 lub nowszej, w której podatność została usunięta. Szczegóły poprawki dostępne są w oficjalnym security advisory producenta oraz w repozytorium GitHub projektu.
Monospace Directus w wersjach od 10.8.0 do przed 11.9.3
Podatność jest szczególnie niebezpieczna w środowiskach, gdzie Directus API jest dostępne publicznie, ponieważ nie wymaga żadnego uwierzytelnienia. Fakt, że wgrane pliki nie pojawiają się w Directus UI, skutecznie utrudnia wykrycie ataku metodami standardowego audytu interfejsu administracyjnego.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:LMonospace Directus
APPMonospace10.8.0 – 11.9.3 (bez)
Powiązane podatności
In Directus before 9.7.0, the default settings of CORS_ORIGIN and CORS_ENABLED are true.
Directus is a real-time API and App dashboard for managing SQL database content. Prior to 11.17.0, the PATCH /...
Directus is a real-time API and App dashboard for managing SQL database content. Prior to 11.17.0, Directus's ...
Directus is a real-time API and App dashboard for managing SQL database content. Prior to 11.16.0, a Server-Si...
Directus is a real-time API and App dashboard for managing SQL database content. Prior to 11.16.1, Directus' T...