Podatności Eclipse Ditto

W Eclipse Ditto w wersjach 3.6.0 do 3.8.13 oraz 3.9.0 do 3.9.7 interfejs Ditto Explorer UI ładuje konfigurację środowiska, w tym URI API Ditto i ustawienia dostawcy OIDC, z dowolnego adresu URL podanego w parametrze environmentsURL. Złośliwy link może ustawić kontrolowaną przez atakującego władzę OIDC z włączonym autoSso, co prowadzi do kradzieży tokenów dostępu i odświeżania ofiary.

W Eclipse Ditto w wersjach od 1.3.0 do 3.9.6, komponent ImplicitThingCreationMessageMapper w usłudze connectivity wstrzykuje wartości z nagłówków wiadomości do szablonu JSON bez odpowiedniego escapowania, co pozwala na złamanie struktury JSON i wstrzyknięcie dodatkowych pól. Atakujący może kontrolować nagłówek (np. właściwość MQTT 5, AMQP 1.0 lub Kafka) i wstrzyknąć obiekt _policy, nadpisując skonfigurowaną politykę dostępu.

W Eclipse Ditto w wersjach od 3.0.0 do 3.9.6 usługa Things pobiera modele WoT (Web of Things) ThingModels przez HTTP z adresów URL dostarczanych przez użytkowników API w polu definicji Thing lub Feature, bez walidacji hosta docelowego, i podąża za przekierowaniami HTTP bez ponownej walidacji celu i bez limitu przeskoków. Uwierzytelniony użytkownik z uprawnieniem do tworzenia Thing lub z uprawnieniem WRITE na istniejącym Thing może spowodować, że usługa Things wyśle dowolne żądania HTTP GET z wnętrza sieci wdrożenia – w tym do punktów końcowych metadanych instancji chmury i innych usług wewnętrznych – oraz może wykorzystać różne odpowiedzi błędów do enumeracji usług wewnętrznych. Wersje 2.4.0 do 2.5.x zawierają ten sam kod, ale są podatne tylko wtedy, gdy operator jawnie włączył przełącznik integracji WoT, który jest domyślnie wyłączony w tych wersjach.