Podatności zlt2000 microservices-platform

zlt2000 microservices-platform do wersji 6.0.0 zawiera lukę obejścia autoryzacji w module file-center w punkcie końcowym DELETE /files/{id}, który nie wykonuje walidacji własności. Uwierzytelnieni atakujący mogą wyliczyć identyfikatory plików przez GET /files i usunąć pliki oraz metadane dowolnych użytkowników, podając ich identyfikatory do punktu końcowego usuwania.

zlt2000 microservices-platform do wersji 6.0.0 zawiera podatność obejścia autoryzacji w usłudze search-center, która pozwala uwierzytelnionym atakującym odczytać dowolny indeks Elasticsearch poprzez podanie nazwy indeksu w zmiennych ścieżki POST /search/{indexName} oraz GET /agg/requestStat/{indexName}/{routing}. Atakujący mogą odpytywać dowolne indeksy, w tym sys_user, aby uzyskać poufne rekordy użytkowników i hashe haseł bez odpowiednich kontroli dostępu.

zlt2000 microservices-platform do wersji 6.0.0 zawiera lukę niezweryfikowanej zmiany hasła w punkcie końcowym PUT /users/password, która pozwala uwierzytelnionym użytkownikom zmienić hasło dowolnego konta poprzez pominięcie sprawdzenia aktualnego hasła. Atakujący mogą podać dowolny identyfikator użytkownika w treści żądania i nowe hasło, aby nadpisać poświadczenia dowolnego konta niebędącego administratorem bez weryfikacji.

Platforma mikrousług zlt2000 w wersji do 6.0.0 zawiera lukę braku autoryzacji, ponieważ flaga zlt.security.auth.urlPermission.enable domyślnie ma wartość false, co wyłącza wszystkie kontrole uprawnień po uwierzytelnieniu. Uwierzytelnieni użytkownicy bez przypisanych ról mogą uzyskać dostęp do API administracyjnych, w tym zarządzania użytkownikami, przypisywania ról i operacji na indeksach Elasticsearch.