Podatności DataEase

DataEase to narzędzie do wizualizacji i analizy danych typu open source. Wersje przed 2.10.23 mają podatność na path traversal. Przyczyną jest to, że na systemie Windows separator plików to '\', a serwer filtruje tylko znak '/' podczas skracania ciągów. Luka została naprawiona w wersji 2.10.23. Brak znanych obejść.

W DataEase przed wersją 2.10.23 stwierdzono podatność w obsłudze tokenów korporacyjnych. Filtr TokenFilter#doFilter() przekazuje wartość nagłówka X-DE-TOKEN do metody TokenUtils.validate(), która sprawdza jedynie obecność i długość tokena, a następnie funkcja userBOByToken() używa JWT.decode() bez weryfikacji podpisu. Umożliwia to akceptację sfałszowanych tokenów z dowolnymi wartościami uid i oid, gdy licenseValid=true.

W narzędziu DataEase przed wersją 2.10.23 wykryto podatność umożliwiającą zdalne wykonanie kodu (RCE) poprzez połączenie ze źródłem danych Redshift. Atakujący może wczytać kontrolowany plik konfiguracyjny rsjdbc.ini z katalogu tymczasowego, co prowadzi do wykonania kodu w wyniku refleksji podczas normalnego połączenia JDBC.

Dataease, narzędzie do wizualizacji i analizy danych, w wersjach przed 2.10.17 jest podatne na wstrzyknięcie JNDI. Mimo dodania czarnej listy w wersji 2.10.14, atak nadal możliwy jest przez schematy iiop, corbaname oraz iiopname. Podatność została naprawiona w wersji 2.10.17.

Podatność w narzędziu DataEase przed wersją 2.10.23 umożliwia zdalne wykonanie kodu poprzez przesłanie spreparowanego pliku payload.zip za pomocą API Excel /datasource/upload. Atakujący tworzy źródło danych H2 wykorzystujące protokół zip:, a następnie wykonuje zapytanie SQL, które uruchamia prekompilowane aliasy Java w pliku test.mv.db, prowadząc do wykonania dowolnego kodu.

Podatność w narzędziu DataEase przed wersją 2.10.23 umożliwia wykonanie dowolnych zapytań SQL do odczytu danych z podłączonych źródeł danych. Problem występuje w funkcji podglądu SQL, która nie weryfikuje uprawnień dostępu do tabel.

W DataEase przed wersją 2.10.23 uwierzytelnieni użytkownicy mogą przesyłać pliki SVG przez endpointy POST /de2api/templateManage/save lub DataVisualizationServer.decompression. Pliki są zapisywane bez walidacji rozszerzenia, typu MIME ani zawartości, co umożliwia przechowywanie złośliwych skryptów SVG i prowadzi do ataku XSS w kontekście tej samej domeny.

W DataEase przed wersją 2.10.23 zestawy danych typu SQL przechowują kontrolowane przez atakującego wartości domyślne zmiennych SQL, takie jak ${var}, a funkcja SqlparserUtils.handleVariableDefaultValue() wstawia je za pomocą String.replace() bez odpowiedniego escapingu lub parametryzacji, co prowadzi do podatności na wstrzyknięcie SQL (SQL injection) za każdym razem, gdy użytkownik z uprawnieniami do odczytu zestawu danych uzyska do niego dostęp.

W narzędziu DataEase przed wersją 2.10.23 wykryto podatność polegającą na braku walidacji ścieżek w API do masowego usuwania eksportów. Atakujący może wykorzystać sekwencje typu ../ do usunięcia dowolnych katalogów na serwerze poprzez funkcję czyszczenia zadań eksportu.

W DataEase przed wersją 2.10.23 wykryto podatność polegającą na braku walidacji ścieżek w endpointach związanych z zapisem szablonów. Atakujący może wykorzystać kontrolowane nazwy zasobów statycznych oraz zawartość Base64 do przeprowadzenia ataku typu path traversal i zapisu dowolnych plików na serwerze.

W narzędziu DataEase przed wersją 2.10.23 stwierdzono podatność na wstrzykiwanie SQL w funkcji sprawdzania stanu połączenia ze źródłem danych. Atakujący może wykorzystać parametr schema w zapytaniu SQL, co prowadzi do nieautoryzowanego dostępu do danych.

W narzędziu DataEase przed wersją 2.10.23 stwierdzono podatność na wstrzykiwanie SQL. Zmienne SQL dashboardu, takie jak ${deptId}, są przetwarzane przez funkcję SqlparserUtils.transFilter(), która dla operatorów innych niż 'in' i 'between' zwraca nieprzetworzone dane wejściowe użytkownika, a następnie są one wstawiane do zapytania SQL bez odpowiedniego oczyszczenia. Umożliwia to uwierzytelnionym użytkownikom z dostępem do dashboardu wstrzykiwanie złośliwego kodu SQL do zintegrowanych źródeł danych.

W narzędziu DataEase przed wersją 2.10.24 wykryto podatność polegającą na użyciu zakodowanego na stałe domyślnego klucza sygnatury do linków udostępniania. Atakujący, znając ten klucz (link-pwd-fit2cloud), może sfałszować tokeny JWT i uzyskać dostęp do zasobów backendu jako twórca udostępnienia, nawet jeśli oryginalne udostępnienie zostało cofnięte.

W narzędziu DataEase przed wersją 2.10.24, komponenty tekstowe dashboardu renderują przechowywaną treść za pomocą Vue v-html bez sanitacji HTML po stronie serwera. Umożliwia to uwierzytelnionemu użytkownikowi, który może edytować dane komponentów dashboardu, wstrzyknięcie HTML z wykonywalnymi procedurami obsługi zdarzeń, które uruchamiają się, gdy inny użytkownik lub gość z linkiem udostępnionym wyświetli dashboard.

W DataEase przed wersją 2.10.24 filtry kwot i osi Y osadzają wartości kontrolowane przez atakującego bezpośrednio w generowanym SQL w metodzie Quota2SQLObj.getYWheres(), bez walidacji literałów SQL i escapingu stosowanego w innych ścieżkach filtrów. Umożliwia to uwierzytelnionemu użytkownikowi, który może tworzyć lub modyfikować definicje wykresów albo przesyłać żądania danych wykresu zawierające filtry kwot, wstrzyknięcie SQL do zapytań wykonywanych wobec skonfigurowanych źródeł danych.

W DataEase przed wersją 2.10.24 odkryto podatność umożliwiającą ominięcie zabezpieczeń protokołu H2 zip i mechanizmu blokowania plików. Uwierzytelniony atakujący może przesłać archiwum zip zamaskowane rozszerzeniem .ttf przez FontManage.saveFile, a następnie wykorzystać je przez protokół zip do zdalnego wykonania kodu.

W narzędziu DataEase przed wersją 2.10.24 moduł zarządzania czcionkami umożliwia uwierzytelnionym użytkownikom podanie dowolnej wartości w polu fileTransName podczas tworzenia rekordu czcionki. Przy usuwaniu rekordu wartość ta jest łączona ze ścieżką katalogu czcionek i przekazywana do funkcji FileUtils.deleteFile() bez sanityzacji ścieżki, co pozwala na usunięcie dowolnych zapisywalnych plików w kontenerze aplikacji.

W narzędziu DataEase przed wersją 2.10.24 wykryto podatność polegającą na obejściu walidacji ciągów połączeń JDBC bazy danych H2. Specjalne znaki Unicode, które różnią się konwersją wielkości liter między walidacją DataEase a parsowaniem H2, umożliwiają atakującemu przemycenie niebezpiecznych parametrów (np. init) i zdalne wykonanie kodu.

W narzędziu DataEase przed wersją 2.10.24 brakuje adnotacji @DePermit w punkcie końcowym /de2api/datasetData/previewSql, co pozwala uwierzytelnionemu użytkownikowi na wykonanie dowolnych zapytań SQL do wbudowanej bazy danych i odczyt wrażliwych danych.

W narzędziu DataEase przed wersją 2.10.24 uwierzytelniony użytkownik może manipulować parametrem identyfikatora zadania, aby pobierać, usuwać, ponawiać lub generować linki do pobierania zadań eksportu należących do innych użytkowników. Dodatkowo, endpoint /exportCenter/download/{id} jest wyłączony z uwierzytelniania, co umożliwia nieuwierzytelnionym osobom dostęp do wyeksportowanych plików.

W narzędziu DataEase przed wersją 2.10.24 interfejs danych wykresu w trybie udostępniania nie sprawdza, czy identyfikatory tabeli i pól w żądaniu należą do udostępnionego zasobu. Osoba atakująca posiadająca ważny token linku udostępniania może podmienić identyfikatory zestawu danych i uzyskać nieautoryzowany dostęp do danych przez endpoint POST /de2api/chartData/getData.

W narzędziu DataEase przed wersją 2.10.24 interfejs /de2api/share/proxyInfo generuje i zwraca token X-DE-LINK-TOKEN przed walidacją hasła lub biletu udostępniania. Umożliwia to nieuwierzytelnionym atakującym, znającym identyfikator UUID chronionego udostępnienia, uzyskanie ważnego tokena linku do dalszych wywołań API związanych z udostępnianiem, nawet przy braku lub nieprawidłowych poświadczeniach.

DataEase to narzędzie do analizy wizualizacji danych, które przed wersją 1.18.9 miało podatność na wstrzyknięcie SQL, umożliwiającą obejście czarnych list. Podatność została naprawiona w wersji 1.18.9.

DataEase to narzędzie do analizy wizualizacji danych, które w dotkniętych wersjach ma brakujące sprawdzenie autoryzacji. Umożliwia to nieautoryzowanym użytkownikom manipulację pulpitami stworzonymi przez administratora.

DataEase, narzędzie do analizy wizualizacji danych, ma podatność na obejście uprawnień, która pozwala zwykłym użytkownikom uzyskać dostęp do bazy danych użytkowników. Ujawnione informacje obejmują hashe md5 haseł, nazwy użytkowników, adresy e-mail oraz numery telefonów.

DataEase to narzędzie do analizy wizualizacji danych, które w dotkniętych wersjach pozwala nieautoryzowanym użytkownikom na usunięcie aplikacji. Podatność została naprawiona w wersji 1.18.8.