Podatności Hermes WebUI

Hermes WebUI w wersji przed 0.51.443 zawiera lukę w autoryzacji w punkcie końcowym eksportu sesji, która pozwala uwierzytelnionym użytkownikom na dostęp do sesji z innych profili. Handler _handle_session_export w api/routes.py nie weryfikuje własności aktywnego profilu przed serializacją danych sesji.

Hermes WebUI w wersjach przed 0.51.443 zawiera lukę w kontroli dostępu w punkcie końcowym /api/session, która pozwala uwierzytelnionym użytkownikom na ujawnienie transkryptów sesji z innych profili. Atakujący mogą obejść kontrole granic profili, bezpośrednio zapytując o identyfikatory sesji należące do innych profili.

Hermes WebUI przed wersją 0.51.788 zawiera nieuwierzytelnioną podatność zdalnego wykonania kodu, która umożliwia atakującym wykonanie dowolnych poleceń powłoki poprzez dostęp do punktów końcowych API terminala bez uwierzytelnienia. Atakujący może utworzyć sesję, podłączyć powłokę PTY i wysyłać dowolne polecenia przez punkt końcowy wejścia terminala, co prowadzi do pełnego wykonania poleceń jako użytkownik procesu serwera za pomocą czterech sekwencyjnych żądań HTTP.

Hermes WebUI przed wersją 0.51.307 zawiera podatność polegającą na obejściu uwierzytelnienia, która pozwala nieuwierzytelnionym zdalnym atakującym ominąć ograniczenia IP pochodzenia lokalnego w punktach końcowych dołączania poprzez spreparowanie nagłówka X-Forwarded-For z adresem pętli zwrotnej. Atakujący mogą wykorzystać to obejście do przeprowadzenia fałszowania żądań po stronie serwera (SSRF) wobec wewnętrznych usług, w tym punktów końcowych metadanych chmury, nadpisania konfiguracji dostawcy LLM i kluczy API wartościami kontrolowanymi przez atakującego lub zainicjowania przepływów kodu urządzenia OAuth w celu uzyskania trwałych tokenów dostępu przechowywanych w auth.json.

Hermes WebUI w wersji przed 0.51.409 zawiera lukę w autoryzacji w punktach rejestracji kluczy dostępu, która pozwala nieautoryzowanym atakującym zdalnym na rejestrację dowolnych kluczy dostępu. W przypadku włączenia HERMES_WEBUI_PASSKEY=1 bez istniejących poświadczeń, punkty końcowe POST /api/auth/passkey/register/options i POST /api/auth/passkey/register są dostępne bez autoryzacji.

Hermes WebUI przed wersją 0.51.358 zawiera podatność niewłaściwej kontroli dostępu, która pozwala nieuwierzytelnionym zdalnym atakującym na przejęcie początkowej konfiguracji poprzez wysłanie parametru _set_password do API ustawień bez ograniczeń pochodzenia sieciowego. Atakujący z dowolnej osiągalnej sieci mogą wysłać żądanie POST do punktu końcowego ustawień podczas okna pierwszej konfiguracji, aby utrwalić dowolny skrót hasła, uzyskać ważne ciasteczko sesji i zablokować legalnego operatora przed dostępem do własnej instancji.

Podatność w Hermes WebUI przed wersją 0.51.521 pozwala na ominięcie izolacji profili. Podczas importowania sesji przez endpoint /api/session/import, obiekt sesji jest tworzony bez ustawienia profilu, co powoduje, że importowana sesja ma profil null. Ponieważ profil null jest traktowany jako domyślny, użytkownik na profilu domyślnym może wyeksportować transkrypt sesji i użyć jej identyfikatora do odczytu plików z przestrzeni roboczej nazwanego profilu.

Hermes WebUI w wersji przed 0.51.468 zawiera podatność na wyczerpanie zasobów w nieautoryzowanym punkcie końcowym POST /api/onboarding/oauth/start, co pozwala na nieograniczone gromadzenie stanu przepływu w pamięci oraz wątków demona.

Hermes WebUI w wersjach przed 0.51.368 zawiera lukę w autoryzacji w funkcji get_profile_cookie(), która akceptuje nieautoryzowane nazwy profili z ciasteczka hermes_profile. Uwierzytelniony atakujący może sfałszować wartość ciasteczka hermes_profile, aby obejść kontrole autoryzacji oparte na profilach i uzyskać dostęp do sesji, plików oraz zasobów z różnych profili.

W Hermes WebUI przed wersją 0.51.311 stwierdzono podatność na zdalne wykonanie kodu, która umożliwia uwierzytelnionym atakującym wykonanie dowolnych poleceń poprzez umieszczenie złośliwej konfiguracji Git w pliku .git/config repozytorium obszaru roboczego. Atakujący mogą wykorzystać podprocesy Git w api/workspace_git.py przez wektory takie jak core.fsmonitor, protocol.ext.allow, credential.helper, core.askPass, core.gitProxy lub dziedziczone zmienne środowiskowe, w tym GIT_SSH_COMMAND.

Hermes WebUI przed wersją 0.51.303 zawiera podatność TOCTOU w funkcji git_discard w api/workspace_git.py, umożliwiającą atakującym usunięcie plików poza skonfigurowanym obszarem roboczym poprzez podmianę sprawdzonej ścieżki na dowiązanie symboliczne.

Hermes WebUI przed wersją 0.51.296 zawiera podatność na obejście granic obszaru roboczego. Uwierzytelniony atakujący może skonfigurować zdalny terminal z katalogiem roboczym np. /etc, co powoduje wcześniejsze zakończenie funkcji _remote_terminal_workspace_candidate() przed sprawdzeniem blokady, umożliwiając odczyt plików systemowych.

Hermes WebUI przed wersją 0.51.269 zawiera podatność polegającą na obejściu izolacji profili, która pozwala uwierzytelnionym użytkownikom na dostęp do danych innych profili poprzez zapytanie do punktu końcowego wyszukiwania sesji bez filtrowania aktywnego profilu. Atakujący mogą wysyłać żądania do modułu obsługi wyszukiwania sesji, aby pobrać tytuły sesji i treść wiadomości z transkryptów z profili innych niż ich własny aktywny profil.

Hermes WebUI przed wersją 0.51.270 zawiera podatność na wyczerpanie zasobów, która pozwala nieuwierzytelnionym zdalnym atakującym na obniżenie dostępności usługi poprzez wielokrotne wywoływanie endpointu opcji klucza dostępu bez kończenia asercji. Atakujący mogą wysyłać nieograniczoną liczbę żądań POST do endpointu uwierzytelniania, powodując niekontrolowany wzrost pliku przechowującego wyzwania oraz nadmierne obciążenie CPU i dysku przez wielokrotne przepisywanie plików JSON.

Hermes WebUI przed wersją v0.51.221 zawiera podatność na path traversal, która pozwala atakującym na wyjście poza obszar roboczy poprzez dostarczenie dowiązań symbolicznych (symlinków) wskazujących na pliki lub katalogi poza katalogiem głównym obszaru roboczego. Atakujący mogą wykorzystać API plików i listowania, które rozwiązują dowiązania symboliczne bez sprawdzania, czy końcowa ścieżka pozostaje w obszarze roboczym, aby odczytać zewnętrzne pliki hosta, takie jak klucze SSH, dane uwierzytelniające do chmury lub tokeny aplikacji.

Hermes WebUI przed wersją 0.51.44 zawiera podatność na przechodzenie po ścieżkach w punkcie końcowym importu sesji. Umożliwia ona uwierzytelnionym atakującym odczyt dowolnych plików poprzez zaimportowanie spreparowanej sesji z nieograniczoną wartością obszaru roboczego.