Podatności Malcolm

Malcolm's upload-processing pipeline (scripts/safe-extract.py) egzekwuje limity liczby wpisów, głębokości zagnieżdżenia i całkowitego rozmiaru przy rozpakowywaniu archiwów kontenerowych (zip/tar/rar/7z), ale nie stosuje tych limitów do pojedynczych strumieni skompresowanych (.gz, .bz2, .xz, .lzma, .lz). Uwierzytelniony użytkownik może przesłać mały, wysoko skompresowany plik (np. bombę gzip), który dekompresuje się do nieograniczonego rozmiaru, wyczerpując współdzielony wolumin Docker i zakłócając działanie platformy.

Malcolm's nginx Lua warstwa kontroli dostępu oparta na rolach (RBAC) decyduje o dostępie do ścieżek ograniczonych rolą, dopasowując wzorce do surowego, percent-encoded URI. Nginx jednak wybiera blok location na podstawie zdekodowanego, znormalizowanego URI. Ponieważ kontrola RBAC nie dekoduje percent-encoding, uwierzytelniony użytkownik z niskimi uprawnieniami może uzyskać dostęp do ścieżek administracyjnych, używając percent-encoded URI, omijając ograniczenia.

Malcolm to zestaw narzędzi do analizy ruchu sieciowego. Przed wersją 26.07.0 kontrola dostępu oparta na rolach w warstwie Nginx OpenResty Lua ocenia surowy, nieznormalizowany `ngx.var.request_uri`, podczas gdy sam Nginx kieruje żądania przy użyciu znormalizowanej ścieżki. Uwierzytelniony użytkownik o niskich uprawnieniach może dodać segment traversal (na przykład `/x/../upload/...`), tak że Nginx kieruje żądanie do ograniczonego backendu, podczas gdy kontrola roli Lua nie dopasowuje żadnej reguły i otwiera się, przyznając dostęp, który powinien być zabroniony. Wersja 26.07.0 naprawia ten problem.

Malcolm to zestaw narzędzi do analizy ruchu sieciowego. Przed wersją 26.07.0, `safe-extract.py` chroni ekstrakcję plików flagami bezpieczeństwa libarchive, ale tworzy wpisy katalogów za pomocą surowego `os.makedirs(os.path.join(dest, entry.pathname))`, które nie ma ochrony przed traversal. Złośliwe archiwum zawierające wpis katalogu z sekwencją `../` lub ścieżką bezwzględną powoduje, że kontener przetwarzania filebeat tworzy katalogi poza zamierzonym katalogiem ekstrakcji. Wersja 26.07.0 naprawia problem.

Malcolm to zestaw narzędzi do analizy ruchu sieciowego. Przed wersją 26.07.0, `safe-extract.py` wyodrębnia przesłane archiwa bez limitu liczby wpisów, głębokości katalogów, całkowitej liczby wpisów lub rozmiaru wyjścia. Małe złośliwe archiwum zawierające dużą liczbę wpisów katalogów lub plików powoduje, że kontener przetwarzania filebeat tworzy nieograniczoną liczbę obiektów systemu plików, wyczerpując inody lub metadane systemu plików i powodując odmowę usługi dla potoku przetwarzania i wszelkich usług współdzielących ten sam montaż. Wersja 26.07.0 naprawia problem.

Malcolm, narzędzie do analizy ruchu sieciowego, zawiera podatność w komponencie przesyłania plików (FilePond PHP backend). Lista dozwolonych typów plików jest domyślnie pusta, więc akceptowane są wszystkie rozszerzenia, a nazwy plików zachowują rozszerzenie .php. Uwierzytelniony użytkownik z rolą ROLE_UPLOAD może przesłać plik PHP i wykonać go jako www-data.