Podatności Cloudreve

Cloudreve to samodzielnie hostowany system zarządzania i udostępniania plików. Przed wersją 4.18.0 funkcja PrepareUpload sprawdza nieaktualną wartość pojemności użytkownika w pamięci, a następnie stosuje bezwarunkowe obciążenie pojemności poza tą samą transakcją egzekwującą limit. Uwierzytelniony użytkownik z uprawnieniem Files.Write może wysyłać równoczesne żądania sesji przesyłania, które odczytują ten sam stan pojemności, przechodzą kontrolę MaxStorage i rezerwują zadeklarowane rozmiary, przekraczając limit konta.

W Cloudreve przed wersją 4.18.0 zabezpieczenie przed server-side request forgery (SSRF) ValidateExternalURL w pkg/request/ssrf.go przekazuje rozwiązane adresy do checkIP bez dekodowania form przejściowych IPv4-w-IPv6 NAT64, IPv4-compatible i 6to4. Uwierzytelniony użytkownik z dostępem do zdalnego pobierania może podać SrcUri poprzez RemoteDownloadTask.createDownloadTask, aby wrapper osadzający adres IPv4 loopback, prywatny, link-local lub cloud metadata został sklasyfikowany jako publiczny i pobrany, ujawniając odpowiedzi wewnętrznych usług i poświadczenia instancji chmury. Adresy IPv4-mapped IPv6 pozostają zablokowane, ponieważ Go konwertuje tę formę za pomocą net.IP.To4.

Cloudreve przed wersją 4.18.0 ma brak middleware RequiredScopes(types.ScopeAdminWrite) na trasach narzędzi administracyjnych tool.GET("wopi") i tool.POST("mail"), które dziedziczą ScopeAdminRead. Aplikacja OAuth lub klucz API z uprawnieniami Admin.Read może sondować skonfigurowane usługi WOPI i wysyłać dowolne testowe e-maile przez konfigurację SMTP, przekraczając granice uprawnień tylko do odczytu.

W Cloudreve przed wersją 4.17.0, walidacja sesji WOPI używa tylko prefiksu session-id tokena dostępu i nie wymusza żądanej akcji, co pozwala złośliwemu przeglądającemu na sfałszowanie sufiksu tokena i wywołanie zapisu pliku.

Podatność w Cloudreve przed wersją 4.17.0, gdzie endpoint POST /api/v4/admin/policy/oauth/signin wymaga tylko uprawnienia Admin.Read, ale umożliwia modyfikację poświadczeń polityki przechowywania OneDrive bez uprawnienia Admin.Write, co pozwala na zmianę sekretu i app_id.

W Cloudreve przed wersją 4.17.0, subskrypcja zdarzeń dla pojedynczego udostępnionego pliku rozpoznaje katalog nadrzędny właściciela i subskrybuje go, co pozwala uwierzytelnionemu odbiorcy na otrzymywanie informacji o nieudostępnionych plikach i folderach.

Cloudreve przed wersją 4.17.0 zawiera podatność w dekoderach miniatur i awatarów, które ograniczają rozmiar skompresowanego pliku, ale nie ograniczają wymiarów pikseli po dekompresji. Uwierzytelniony użytkownik może przesłać mały plik PNG, JPEG lub GIF, który powoduje nieograniczoną alokację pamięci i zatrzymanie procesu Cloudreve z powodu krytycznego błędu braku pamięci.

Cloudreve przed wersją 4.17.0 zawiera podatność w punkcie końcowym GET /api/v4/user/search, który wywołuje SearchActive bez dodawania predykatu StatusActive i serializuje wyniki na poziomie RedactLevelUser. Pozwala to każdemu zalogowanemu użytkownikowi na wyliczenie adresów e-mail i metadanych profili dla nieaktywnych lub zablokowanych kont.

Cloudreve przed wersją 4.17.0 zawiera podatność w handlerze WOPI PUT_RELATIVE, który przekazuje X-WOPI-SuggestedTarget do URI.JoinRaw jako ścieżkę, a nie nazwę pliku. Umożliwia to użycie segmentów slash i dot-dot do opuszczenia katalogu pliku źródłowego i tworzenia lub warunkowego nadpisywania plików w innym miejscu na koncie tego samego właściciela.

W Cloudreve przed wersją 4.16.1, konto WebDAV z ograniczeniem do skonfigurowanego folderu może ominąć to ograniczenie poprzez wysłanie ścieżki zawierającej zakodowane znaki ".." (np. %2e%2e). Funkcja stripPrefix w pkg/webdav/webdav.go łączy zdekodowany sufiks żądania z ścieżką konta bez sprawdzania, czy wynik pozostaje w dozwolonym folderze, co pozwala na odczyt i listowanie plików poza nim, a w przypadku kont z uprawnieniami do zapisu także na tworzenie, nadpisywanie, przenoszenie lub usuwanie plików.

Cloudreve przed wersją 4.16.1 umożliwia użytkownikom niebędącym administratorami, posiadającym uprawnienia do zdalnego pobierania, pobieranie plików z wewnętrznych adresów URL (np. localhost, loopback) poprzez endpoint POST /api/v4/workflow/download. Podatność wynika z braku blokowania adresów pętli zwrotnej, localhost, IPv6 localhost oraz przekierowań do tych adresów.

Cloudreve w wersjach od 4.12.0 do 4.16.1 wystawia tokeny OAuth bez roszczenia client_id, przez co weryfikator JWT nie ładuje zakresów tokena do kontekstu żądania. Funkcja RequiredScopes traktuje takie żądanie jak uwierzytelnienie sesyjne bez zakresów, umożliwiając tokenom o niskim zakresie dostęp do API wymagających wyższych uprawnień, w tym do plików, udostępniania, przepływów pracy, ustawień użytkownika, kont WebDAV i potencjalnie zakresów administracyjnych.

Podatność w Cloudreve (system zarządzania plikami i udostępniania) przed wersją 4.13.0. Aplikacja używa słabego generatora liczb pseudolosowych (math/rand) z ziarnem opartym na czasie utworzenia konta administratora. Atakujący może odtworzyć secret_key i sfałszować tokeny JWT, co prowadzi do przejęcia konta administratora.