Podatności Anyquery

Anyquery przed wersją 0.4.5 udostępnia moduły wirtualnych tabel SQLite (csv_reader, log_reader) przez port serwera MySQL bez uwierzytelnienia, co pozwala zdalnemu atakującemu na odczyt dowolnych plików z systemu.

Anyquery przed wersją 0.4.5 udostępnia przez nieuwierzytelniony port serwera MySQL kompatybilne z SQLite moduły tabel wirtualnych obsługujące URL-e (json_reader, log_reader) bez ograniczania docelowych adresów wychodzących. Zdalny atakujący może podać adres loopback, sieci prywatnej lub link-local (np. metadane chmury), co powoduje pobranie zasobu przez go-getter i udostępnienie odpowiedzi jako danych tabeli.

W Anyquery przed wersją 0.4.5 funkcja SQL clear_plugin_cache(plugin) w namespace/other_functions.go przekazuje kontrolowany przez wywołującego parametr plugin przez path.Join do os.RemoveAll bez odrzucania segmentów przejścia katalogowego. Posiadacz tokenu bearer z niskimi uprawnieniami może wywołać tę funkcję przez endpoint /v1/query, powodując rekursywne usunięcie dowolnego katalogu zapisywalnego przez proces serwera.

Anyquery przed wersją 0.4.5 przekazuje nieuwierzytelnione zapytania SQL z portu serwera kompatybilnego z MySQL do SQLite bez ograniczania celów systemu plików ATTACH DATABASE. Zdalny atakujący może wybrać dowolną ścieżkę zapisywalną przez proces serwera Anyquery, spowodować utworzenie tam pliku bazy danych przez SQLite i umieścić w nim kontrolowaną przez siebie treść tabeli. Umożliwia to tworzenie lub nadpisywanie dowolnych plików, powodując utratę integralności systemu plików i odmowę usługi; zdalne wykonanie kodu jest możliwe tylko wtedy, gdy inna usługa interpretuje zapisany plik lub proces ma odpowiednio uprzywilejowany cel zapisu. Luka została naprawiona w wersji 0.4.5.