CVE-2026-33950

Signal K Server przed wersją 2.19.0 zawiera dwie podatności, które można połączyć w łańcuch ataku, umożliwiający kradzież tokenów JWT bez uwierzytelnienia. Pierwsza dotyczy nieuwierzytelnionego wyliczania żądań przez WebSocket (parametr serverevents=all), a druga nieuwierzytelnionego odpytywania statusu żądań dostępu, co po zatwierdzeniu przez administratora zwraca token JWT w postaci jawnej.

Signal K Server przed wersją 2.19.0 pozwala nieuwierzytelnionemu atakującemu na zanieczyszczenie stanu wewnętrznego (restoreFilePath) przez endpoint /skServer/validateBackup, co umożliwia przejęcie funkcji przywracania administratora i nadpisanie krytycznych plików konfiguracyjnych, prowadząc do przejęcia konta i zdalnego wykonania kodu.

Signal K Server przed wersją 2.28.0 ma podatność w funkcji makeRemoteRequest(), która akceptuje kontrolowane przez atakującego parametry host, port, useTLS i selfsignedcert bez walidacji celu. Przy braku skonfigurowanego bezpieczeństwa, endpointy testSignalKConnection, requestAccess i checkAccessRequest są dostępne bez uwierzytelnienia, co pozwala na skanowanie portów, eksfiltrację danych z metadata chmury i wewnętrznych usług oraz ruch boczny.

Signal K Server przed wersją 2.25.0 chroni punkty końcowe logowania HTTP (POST /login i POST /signalk/v1/auth/login) za pomocą express-rate-limit (domyślnie 100 prób na 10 minut). Jednak ścieżka logowania przez WebSocket — wysyłanie wiadomości {login: {username, password}} przez ustanowione połączenie WebSocket — wywołuje app.securityStrategy.login() bezpośrednio bez żadnego ograniczania szybkości. Atakujący może całkowicie ominąć ograniczenia HTTP, otwierając połączenie WebSocket i próbując nieograniczonej liczby haseł z szybkością, na jaką pozwala bcrypt (~20 prób/s przy 10 rundach soli). Problem został naprawiony w wersji 2.25.0.

Signal K Server przed wersją 2.24.0 zawiera podatność na odczyt prototypu przez ominięcie filtrowania pola `from`. Uwierzytelniony użytkownik o niskich uprawnieniach może ominąć filtrowanie granic prototypu i odczytać wewnętrzne funkcje i właściwości z globalnego obiektu prototypu.

Signal K Server to aplikacja serwerowa dla łodzi. Przed wersją 2.24.0 występuje podatność w handlerach logowania i wylogowania OIDC, gdzie niezweryfikowany nagłówek Host jest używany do konstruowania redirect_uri OAuth2. Ponieważ redirectUri jest domyślnie niezdefiniowane, atakujący może podszyć nagłówek Host, aby ukraść kody autoryzacyjne OAuth i przejąć sesje użytkowników.

Signal K Server przed wersją 2.24.0-beta.1 udostępnia nieuwierzytelniony endpoint HTTP PUT /signalk/v1/api/sourcePriorities, który pozwala zdalnym atakującym modyfikować priorytety źródeł danych nawigacyjnych. Zmiany są natychmiast stosowane i trwale zapisywane.

Signal K Server przed wersją 2.19.0 ma podatność w systemie żądań dostępu, która łączy dwa powiązane problemy: nieprawidłowe wyświetlanie pola `permissions` (mniej widoczne niż opis) oraz bezwarunkowe zaufanie do nagłówka `X-Forwarded-For` przy określaniu adresu IP klienta. Atakujący może wykorzystać te luki, aby stworzyć przekonujący atak socjotechniczny na administratora, podszywając się pod zaufane urządzenie i żądając podwyższonych uprawnień.

Signal K Server przed wersją 2.19.0 w interfejsie appstore umożliwia administratorom instalowanie pakietów npm przez punkt końcowy REST API. Mimo walidacji nazwy pakietu, parametr wersji akceptuje dowolne specyfikatory wersji npm, w tym URL-e, co pozwala na instalację pakietów z zewnętrznych źródeł i wykonanie złośliwych skryptów postinstall. Wersja 2.19.0 zawiera poprawkę.

Signal K Server przed wersją 2.19.0 zawiera podatność na nieuwierzytelnione ujawnienie informacji, umożliwiającą każdemu użytkownikowi pobranie wrażliwych informacji systemowych, w tym pełnego schematu danych SignalK, podłączonych urządzeń szeregowych i zainstalowanych narzędzi analitycznych. Wersja 2.19.0 naprawia ten problem.