Podatności OpenSignLabs opensignserver

Brak autoryzacji w OpenSignLabs opensignserver do wersji 2.37.0 umożliwia nieuwierzytelnionemu zdalnemu atakującemu trwałe odrzucenie dowolnego dokumentu w trakcie obiegu i sfałszowanie atrybucji odrzucenia na dowolnego użytkownika poprzez funkcję chmurową Parse declinedoc. Funkcja zapisuje pola IsDeclined, DeclineReason oraz wskaźnik DeclineBy podany przez wywołującego bez weryfikacji tożsamości, co umożliwia przerwanie procesu i fałszowanie ewidencji.

Podatność obejścia uwierzytelniania w OpenSignLabs opensignserver do wersji 2.37.0 umożliwia nieuwierzytelnionemu zdalnemu atakującemu generowanie tokenów dostępu do plików podpisanych kluczem MASTER_KEY dla dowolnych przechowywanych plików poprzez funkcję chmurową Parse getsignedurl. Funkcja pomija sprawdzenie isAuthenticated, gdy podany jest jakikolwiek parametr docId, nawet jeśli nie odpowiada on żadnemu rzeczywistemu dokumentowi, co pozwala ominąć bramkę uwierzytelniania.

Podatność uszkodzonej autoryzacji na poziomie obiektu w OpenSignLabs opensignserver do wersji 2.37.0 umożliwia nieuwierzytelnionemu zdalnemu atakującemu odczyt pełnych rekordów umów poprzez funkcję chmurową Parse getDocument. Funkcja pobiera dokumenty za pomocą useMasterKey, omijając ACL obiektu, i zwraca pełne rekordy, w tym dane osobowe nadawcy i podpisującego oraz wstępnie podpisany URL do pobrania dokumentu, gdy flaga IsEnableOTP nie jest ustawiona (domyślna konfiguracja).

Podatność braku uwierzytelniania w OpenSignLabs opensignserver do wersji 2.37.0 umożliwia nieuwierzytelnionemu zdalnemu atakującemu odczyt dowolnych przechowywanych dokumentów poprzez funkcję chmurową Parse fileupload. Funkcja generuje tokeny dostępu do plików podpisane kluczem MASTER_KEY dla dowolnego adresu URL podanego przez wywołującego bez przeprowadzania jakiejkolwiek kontroli sesji, co niweczy jedyną kontrolę dostępu chroniącą przechowywane pliki umów.