Podatności Lotus

Lotus do wersji 0.10.2 zawiera obejście autoryzacji w ChangeUserOrganizationView.post, które pozwala uwierzytelnionym użytkownikom dołączyć do dowolnej organizacji poprzez podanie jej UUID. Samodzielnie zarejestrowany atakujący znający UUID innej organizacji może wysłać żądanie POST do /app/switch_organization/ i uzyskać dostęp do danych oraz konfiguracji rozliczeń tego tenanta.

Lotus do wersji 0.10.2 zawiera niewłaściwą autoryzację w middleware ingestii zdarzeń w Go, które waliduje klucze API tylko po prefiksie, bez sprawdzania sekretu względem zapisanego hashed_key. Atakujący znający lub posiadający prefiks klucza API może wysyłać zdarzenia użycia do POST /api/track/ jako dana organizacja, zmieniając jej mierzone użycie i rozliczenia.

Lotus do wersji 0.10.2 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom organizacji wstrzyknąć SQL poprzez rejestrowanie spreparowanych subscription_filter_keys omijających walidację opartą wyłącznie na słowach kluczowych. Atakujący mogą tworzyć subskrypcje ze złośliwym kluczem, renderowanym jako niecytowany identyfikator group-by, aby wstrzyknąć SQL do zapytań agregacji użycia w współdzielonej bazie danych wielu dzierżawców.

Lotus do wersji 0.10.2 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom organizacji wstrzykiwać SQL poprzez dostarczanie spreparowanych wartości właściwości metryk rozliczeniowych lub filtrów kategorycznych. Atakujący mogą osadzić SQL w wartościach renderowanych bez escapowania w zapytaniach metryk generowanych przez Jinja, uzyskując dostęp do bazy danych współdzielonej przez wszystkich najemców.

Lotus do wersji 0.10.2 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom organizacji wykonywać dowolny SQL poprzez dołączanie dodatkowych instrukcji do zapytań metryk niestandardowych. Atakujący mogą przesyłać SQL oddzielony średnikami przez POST /app/metrics/, omijając walidację tylko pierwszej instrukcji, aby odczytywać lub modyfikować dane wszystkich najemców.

Lotus do wersji 0.10.2 zawiera podatność typu insecure direct object reference w SubscriptionViewSet.get_object(), która używa querysetu bez ograniczenia do organizacji i bez sprawdzania uprawnień. Uwierzytelnieni użytkownicy lub klucze API z dowolnej organizacji mogą podać subscription_id innej organizacji, aby odczytać, anulować, zaktualizować, zmienić plan lub modyfikować dodatki, zmieniając rozliczenia innego tenanta.