Podatności maestro

Znaleziono błąd w Maestro. Jego punkty końcowe API REST do zapisu zostały zarejestrowane bez odpowiedniego oprogramowania pośredniczącego do uwierzytelniania. Pozwala to zdalnemu atakującemu na wykonywanie nieautoryzowanych operacji zapisu, takich jak tworzenie, modyfikowanie lub usuwanie konsumentów i pakietów zasobów. Może to prowadzić do problemów z integralnością danych lub denial of service (DoS).

W produkcie maestro znaleziono podatność na wstrzykiwanie SQL w parametrze `orderBy` w punktach końcowych listy API REST. Zdalny atakujący bez uwierzytelnienia może wykorzystać tę podatność do ślepego, odczytowego wydobycia danych z bazy danych.

W brokerze gRPC produktu maestro znaleziono podatność umożliwiającą zdalnemu atakującemu z ważnym certyfikatem klienta obejście uwierzytelnienia. Dzięki temu atakujący może subskrybować strumienie zdarzeń innych konsumentów, co prowadzi do nieautoryzowanego ujawnienia informacji, lub publikować sfałszowany status agenta, co może naruszyć integralność danych.