Podatności OctoPrint

W OctoPrint 1.0.0 odkryto podatność w funkcji executeSystemCommand w pliku src/octoprint/server/api/system.py (komponent Command API). Manipulacja argumentem command prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W OctoPrint 1.0.0 stwierdzono podatność w funkcji _validate w pliku src/octoprint/server/api/files.py (komponent File Download API). Manipulacja argumentem filename prowadzi do przejścia poza katalog (path traversal). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

OctoPrint przed wersjami 1.11.8 i 2.0.0rc3 ma niezgodność w parsowaniu parametrów żądań między niestandardowym handlerem Tornado a Flask/Werkzeug, co pozwala atakującemu z uprawnieniem FILE_UPLOAD wstrzykiwać zastrzeżone wewnętrzne pola uploadu przez parametry zapytania lub różnice w parserze. Dotknięte są endpointy /api/files/{local|sdcard}, /api/languages, /plugin/backup/restore i /plugin/pluginmanager/upload_file.

OctoPrint przed wersjami 1.11.8 i 2.0.0rc3, powiadomienia o stłumionych komendach używają renderowania PNotify dla wartości payload.command i payload.message kontrolowanych przez drukarkę w src/octoprint/static/js/app/viewmodels/terminal.js bez escapowania HTML. Atakujący, który przekona ofiarę do wydrukowania spreparowanego pliku, może wstrzyknąć HTML i JavaScript do powiadomienia, zakłócić drukowanie, odczytać informacje dostępne ofierze, w tym wrażliwe ustawienia, gdy są dozwolone, lub wykonać działania w sesji OctoPrint ofiary.