Podatności Frigate

Frigate to open source'owy rejestrator wideo z sieci. Przed wersją 0.18.0 lokalizacja /api/go2rtc/api dopasowywana prefiksem w pliku docker/main/rootfs/usr/local/nginx/conf/nginx.conf wymaga uwierzytelnienia, ale nie wymaga roli administratora dla żądań GET, ujawniając proxowane API go2rtc użytkownikom z rolą viewer. Uwierzytelniony viewer może odpytać podścieżki streams, config, log i stack, aby uzyskać wewnętrzne adresy, ścieżki konfiguracji, logi aplikacji, dane stosu goroutine oraz adresy URL strumieni RTSP, które mogą zawierać dane uwierzytelniające kamer. Problem naprawiono w wersji 0.18.0.

Frigate to open source'owy rejestrator wideo z sieci. Przed wersją 0.17.2 handler WebSocket w frigate/comms/ws.py przekazuje tematy wiadomości wybrane przez atakującego do dyspozytora bez sprawdzania roli uwierzytelnionego użytkownika, ponieważ podzapytanie uwierzytelniające nginx nie dostarcza handlerowi autoryzacji uwzględniającej role. Każdy uwierzytelniony viewer może wysyłać tematy przeznaczone tylko dla administratora, takie jak restart, notifications/set oraz ustawienia detekcji, nagrywania, snapshotów, audio, ruchu i włączania kamer, powodując restarty usługi lub wyłączanie funkcji monitoringu bezpieczeństwa. Problem naprawiono w wersji 0.17.2.

Podatność w Frigate 0.17.1 pozwala każdemu uwierzytelnionemu użytkownikowi, w tym roli widza, na pobieranie logów Frigate i nginx przez endpoint GET /api/logs/{service}. Logi te mogą zawierać automatycznie wygenerowane hasła administratora oraz dane uwierzytelniające kamery, co umożliwia eskalację uprawnień z widza na administratora.