Podatności Coop

W narzędziu Coop w wersjach przed 1.0.2 funkcje addAccessibleQueuesForUser i removeAccessibleQueuesForUser przyjmowały dowolne wartości queueId i userId bez ograniczania ich do organizacji. Uwierzytelniony użytkownik należący do jednej organizacji i posiadający uprawnienie do edycji kolejek MRT mógł przyznać lub odebrać użytkownikom innej organizacji dostęp do kolejek ręcznej moderacji. Istniejąca kontrola uprawnień do edycji kolejek nie wiązała podanych identyfikatorów z organizacją wywołującego. Atakujący nie mógł odczytać kolejek ani zadań innej organizacji, więc luka nie ujawniała danych poufnych.

Coop to narzędzie open source do recenzji i moderacji od ROOST. Przed wersją 1.0.2 funkcja `resetPasswordForToken` aktualizuje hasło bez unieważnienia sesji przechowywanych w bazie danych. Atakujący, który pozyskał hasło i ustanowił sesję, zachowuje dostęp nawet po zresetowaniu hasła przez prawowitego użytkownika, aż do wygaśnięcia sesji po maksymalnie 30 dniach.

W narzędziu Coop w wersjach przed 1.0.0 operacja GraphQL Mutation.createOrg pozwala nieuwierzytelnionemu podmiotowi tworzyć dowolne organizacje na publicznie dostępnej instancji. Poza zaśmiecaniem logów brak ograniczania szybkości może potencjalnie doprowadzić do wyczerpania bazy danych. Uruchomienie usługi w uwierzytelnionej sieci prywatnej uniemożliwia zewnętrznym podmiotom bezpośrednie odpytywanie API GraphQL.

W Coop przed wersją 1.0.2 callback weryfikacji strategii SAML wyszukiwał uwierzytelnionego użytkownika wyłącznie po adresie e-mail przez kyselyUserFindByEmail, bez powiązania z organizacją w /saml/login/:orgId/callback. Atakujący administrujący organizacją i kontrolujący klucz podpisujący jej IdP może przesłać asercję dla e-maila ofiary do callbacku innej organizacji, jeśli docelowa organizacja zarejestrowała ten sam certyfikat podpisujący.

W Coop przed wersją 1.0.0 nieuwierzytelniony podmiot może odpytać Query.allOrgs przez /api/v1/graphql na publicznie dostępnym wdrożeniu i uzyskać dane wszystkich organizacji, w tym identyfikatory, nazwy, adresy e-mail, adresy URL stron i adresy e-mail alertów on-call. Pole usersWhoCanReviewEveryQueue ujawnia także identyfikatory, adresy e-mail, imiona i nazwiska, role, uprawnienia i daty utworzenia użytkowników dokonujących przeglądu.