Podatności DbGate

DbGate w wersjach 7.1.8 i wcześniejszych jest podatny na zdalne wykonanie kodu (RCE) po uwierzytelnieniu. Każdy użytkownik z ważnymi poświadczeniami DbGate może wykonać dowolne polecenia systemowe jako root, wykorzystując niesanityzowany parametr functionName w punkcie końcowym /runners/load-reader. Obejście require = null jest trywialne przez dynamiczne import(). Wersja 7.1.9 zawiera poprawkę.

W DbGate, menedżerze baz danych, funkcja unzipDirectory() nie sprawdza, czy pliki z archiwum ZIP pozostają w docelowym katalogu, co pozwala na zapis plików poza nim (path traversal). W domyślnej konfiguracji Docker atakujący z sieci może wykorzystać to do wykonania dowolnego kodu jako root.

DbGate, menedżer baz danych wieloplatformowy, w wersjach 7.1.8 i wcześniejszych zawiera lukę zdalnego wykonania kodu w JSON script runner (POST /runners/start). Wstrzyknięcie kodu następuje przez parametr functionName w poleceniach assign skryptu JSON, który jest interpolowany bezpośrednio do dynamicznie generowanego kodu JavaScript. Kod jest wykonywany w forkowanym procesie potomnym Node.js. Wersja 7.1.9 zawiera poprawkę.

DbGate do wersji 7.2.5/7.3.1-premium-beta.1 zawiera podatność na path traversal w funkcji fs.readFile w pliku packages/api/src/controllers/files.js. Manipulacja argumentami filePath/uri pozwala atakującemu na zdalny odczyt dowolnych plików poza dozwolonym katalogiem.

W DbGate do wersji 7.2.5-beta.5 wykryto podatność na wstrzykiwanie kodu w komponencie JSON Runner. Manipulacja argumentami comment.text/script.schedule w pliku packages/api/src/controllers/runners.js może prowadzić do zdalnego wykonania kodu. Aktualizacja do wersji 7.2.5-beta.6 usuwa problem.

DbGate nie waliduje parametrów jslid w kontrolerze jsldata, co pozwala uwierzytelnionym użytkownikom czytać i zapisywać dowolne pliki poprzez rozwiązywanie schematu file://. Atakujący mogą wykorzystać getJslFileName() do obejścia ograniczeń katalogów i uzyskać dostęp do wrażliwych plików, w tym zaszyfrowanych poświadczeń baz danych przechowywanych w konfiguracji połączeń.

DbGate to wieloplatformowy menedżer baz danych. W wersjach 7.1.8 i starszych endpoint POST /runners/load-reader interpoluje parametr functionName bezpośrednio do szablonu kodu JavaScript bez sanityzacji. Uwierzytelniony użytkownik może wstrzyknąć dowolny kod JavaScript, który wykonuje się na serwerze z pełnymi uprawnieniami procesu Node.js, omijając ograniczenia sandboxa.

DbGate w wersjach od 7.0.0 do 7.1.4 zawiera podatność na przechowywany XSS, ponieważ kontrolowane przez atakującego ikony SVG są renderowane jako surowy HTML bez sanityzacji. W interfejsie webowym umożliwia to wykonanie skryptów w przeglądarce innego użytkownika, a w aplikacji desktopowej Electron może prowadzić do lokalnego wykonania kodu.