Podatności nginx ignition

nginx ignition (UI dla serwera nginx) w wersjach 2.33.0 do 2.35.0 ma podatność, która pozwala użytkownikowi z włączonym OTP 2FA na ponowne użycie swojego TOTP w ciągu standardowego 30-sekundowego okna ważności. Wersja 2.35.1 naprawia ten problem.

W nginx ignition w wersjach od 2.29.0 do 2.40.0 middleware gin i18n w serwerze API działa przed każdym żądaniem HTTP i wywołuje golang.org/x/text/language.ParseAcceptLanguage na surowym nagłówku Accept-Language bez żadnego filtra rozmiaru lub kształtu. Parser ten ma kwadratową złożoność czasową dla długich list zniekształconych tagów językowych; zabezpieczenie CVE-2022-32149 ogranicza liczbę znaków '-' do 1000, ale nie ogranicza znaków '_', mimo że wewnętrzny skaner parsera traktuje '_' jak '-'. Pojedyncze nieuwierzytelnione żądanie GET z nagłówkiem Accept-Language zbudowanym z separatorów '_' zużywa około 2,4 sekundy CPU serwera.

W nginx ignition przed wersją 2.41.1 punkt końcowy POST /api/users/onboarding/finish jest zarejestrowany jako anonimowy (nieuwierzytelniony) i tworzy użytkownika z pełnymi uprawnieniami administratora ReadWrite. Ponieważ procedura obsługi używa wzorca check-then-act (TOCTOU) między sprawdzeniem „czy onboarding już zakończony?” a zapisem tworzenia użytkownika, bez atomowego zabezpieczenia, zdalny nieuwierzytelniony atakujący mogący dotrzeć do instancji w stanie przed onboardingiem może utworzyć dla siebie konto administratora, a równoczesne żądania mogą utworzyć wiele kont administratora w jednym wyścigu.