Podatności Camunda

Camunda 7.24.0 przed 7.24.14 i 7.23.0 przed 7.23.17 zawiera podatność braku kontroli autoryzacji w podzasobach zadań engine-rest, która pozwala uwierzytelnionym atakującym bez przyznanych uprawnień na dostęp do komentarzy i załączników zadań poprzez wywołanie pojedynczych punktów końcowych odczytu i usuwania, które nie mają filtrów autoryzacji wymuszanych na odpowiadających im punktach końcowych listy. Atakujący mogą wykorzystać metody TaskAttachmentResourceImpl i TaskCommentResourceImpl, takie jak getAttachment, getAttachmentData, deleteAttachment i getComment, używając tylko znanego identyfikatora obiektu, aby odczytać, pobrać lub trwale usunąć załączniki i komentarze zadań.

Camunda w wersjach 7.24.0 przed 7.24.14 i 7.23.0 przed 7.23.17 zawiera podatność na wstrzyknięcie wyrażeń, w której AdhocQueryValidator.validate() nie sprawdza map wyrażeń podzapytań w polu orQueries udostępnianym przez TaskQueryDto. Uwierzytelnieni użytkownicy mogą obejść ograniczenie enableExpressionsInAdhocQueries i dostarczyć złośliwe wyrażenie JUEL, takie jak dueAfterExpression, aby uzyskać dowolną refleksję Java i wywołać java.lang.Runtime.exec, co prowadzi do wykonania poleceń systemowych.

Camunda 7.24.0 przed 7.24.15 zawiera błąd nieprawidłowej autoryzacji w punkcie końcowym pierwszego uruchomienia aplikacji Admin, gdzie SetupResource błędnie ustala dostępność konfiguracji, licząc tylko bezpośrednich członków grupy camunda-admin. Nieuwierzytelniony zdalny atakujący może wykorzystać tę wadę logiki, aby wywołać punkt końcowy tworzenia użytkownika i utworzyć nowe konto administratora, gdy grupa camunda-admin jest pusta, ale system jest w pełni zarządzany.