Podatności Netdata

Netdata przed wersją 2.10.4 zawiera podatność w narzędziu ndsudo, które uruchamiane z uprawnieniami roota akceptuje ścieżkę gniazda od niskouprzywilejowanego konta netdata, umożliwiając wykonanie kodu jako root na systemach z zainstalowanym fail2ban-client.

W Netdata w wersjach od 2.0.0 do 2.11.0 endpoint /api/v3/settings jest zarejestrowany z pominięciem kontroli dostępu (HTTP_ACL_NOCHECK, HTTP_ACCESS_ANONYMOUS_DATA), co pozwala nieuwierzytelnionemu użytkownikowi wysyłać żądania PUT z pominięciem ograniczeń IP skonfigurowanych przez operatora. Atakujący może zapisać własną treść JSON w pliku {varlib}/settings/default.json, manipulować licznikiem wersji i wielokrotnymi zapisami blisko 20 MiB wyczerpać miejsce na dysku.

W Netdata przed wersją 2.10.4 uwierzytelniony agent potomny może wysłać zbyt dużą wartość DIMENSION SLOT, która bez górnego limitu trafia przez str2ull_encoded do pluginsd_rrddim_put_to_slot. Funkcja prd_array_create może następnie przepełnić obliczenie rozmiaru alokacji size_t, zachowując oryginalny duży rozmiar tablicy, co powoduje zapis poza zbyt małym buforem sterty i awarię agenta nadrzędnego.

W Netdata przed wersją 2.10.4 uwierzytelniony agent potomny może wysłać zbyt dużą wartość CHART SLOT, która trafia przez str2ull_encoded do pluginsd_rrdset_cache_put_to_slot. Przyjęta wartość powoduje, że reallocz próbuje zaalokować tablicę wskaźników wykresów o rozmiarze około 16 GiB, a niepowodzenie alokacji wywołuje funkcję fatal i przerywa działanie agenta nadrzędnego.

Netdata przed wersją 2.11.0 zawiera podatność w serwerze WebSocket, która pozwala nieuwierzytelnionemu atakującemu na wysyłanie małych, wysoko skompresowanych ramek, prowadząc do dużych alokacji pamięci i wyczerpania zasobów.

Netdata w wersjach od 2.0.0 do 2.10.4 zawiera podatność podczas naprawy MSI, gdzie powershell.exe uruchamiany jako SYSTEM ładuje profil PowerShell z katalogu użytkownika, pozwalając na wykonanie poleceń z uprawnieniami SYSTEM.

Podatność XSS w Netdata przed wersją 2.3.1 w endpointach api/v2/ilove.svg i api/v3/ilove.svg. Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez parametr love, który jest odzwierciedlany w odpowiedzi SVG bez odpowiedniego kodowania. Endpointy są dostępne bez uwierzytelniania, co umożliwia zdalne wykonanie skryptu w przeglądarce ofiary.