Podatności OpenStack Swift

W OpenStack Swift do wersji 2.38.0, middleware S3API nie oczyszcza natywnych nagłówków kontrolnych Swift (X-Copy-From, X-Copy-From-Account) z żądań API S3, gdy włączona jest opcja s3_acl=true. Atakujący może wstrzyknąć te nagłówki do podpisanego żądania PUT skierowanego do własnego kontenera, co powoduje wykonanie kopii po stronie serwera z prywatnego obiektu innego dzierżawcy. Autoryzacja źródłowego obiektu jest pomijana, ponieważ middleware S3API już autoryzował żądanie względem miejsca docelowego.

W OpenStack Swift do wersji 2.38.0 middleware S3API nie wymusza objęcia semantycznych nagłówków x-amz-* podpisem SigV4 w żądaniach z presigned URL. Atakujący, posiadając presigned PUT URL, może wstrzyknąć niepodpisany nagłówek X-Amz-Copy-Source, co powoduje wykonanie kopii po stronie serwera z dowolnego obiektu źródłowego w kontekście autoryzacji podpisującego. Umożliwia to odczyt dowolnego obiektu, do którego dostęp ma podpisujący, jeśli znane są project_id, nazwa kontenera i nazwa obiektu.

W OpenStack Swift do wersji 2.38.0 parser nagłówka Accept w serwerze proxy zawiera wyrażenie regularne podatne na katastrofalne cofanie (ReDoS). Wzorzec "qdtext" (?:[^"]|\\.)* pozwala nieuwierzytelnionemu zdalnemu atakującemu wysłać spreparowany nagłówek Accept, powodując wykładnicze zużycie CPU w procesie roboczym proxy. Ładunek 32 par znaków backslash przekracza 30 sekund czasu CPU. Powtarzane żądania mogą wyczerpać wszystkie wątki robocze proxy, powodując całkowitą odmowę usługi.

W OpenStack Swift przed wersją 2.37.2 serwer proxy nie usuwa wewnętrznych nagłówków aktualizacji (X-Container-Host, X-Container-Device, X-Delete-At-Host, X-Delete-At-Device) z żądań klientów przed przekazaniem ich do serwerów obiektów. Uwierzytelniony użytkownik z dostępem do zapisu może wstrzyknąć te nagłówki, aby przekierować żądania aktualizacji kontenera na kontrolowany przez atakującego serwer, co umożliwia fałszowanie żądań po stronie serwera (SSRF).

W OpenStack Swift przed wersjami 2.36.2 i 2.37.2, oprogramowanie pośredniczące s3api wchodzi w nieskończoną pętlę podczas przetwarzania obciętego żądania PUT z kodowaniem aws-chunked. Klasa StreamingInput wielokrotnie dołącza pusty bufor i ponownie odczytuje, powodując trwałe zawieszenie procesu roboczego proxy-server z rosnącym zużyciem CPU i pamięci. Uwierzytelniony atakujący może systematycznie wyczerpać wszystkie procesy robocze proxy-server, prowadząc do odmowy usługi. Błąd wprowadzono w Swift 2.36.0.