Podatności MinKNOW

Oxford Nanopore MinKNOW przed wersją 24.06 polega na adresie IP klienta do uwierzytelniania.

Oprogramowanie MinKNOW firmy Oxford Nanopore Technologies w wersji 24.11 i wcześniejszych przechowuje tokeny uwierzytelniające w pliku w katalogu tymczasowym systemu (/tmp) na maszynie hosta. Katalog ten jest zazwyczaj czytelny dla wszystkich, co pozwala dowolnemu lokalnemu użytkownikowi lub aplikacji na dostęp do tokenu. Jeśli token wycieknie (np. przez malware lub inny lokalny exploit), a zdalny dostęp jest włączony, może zostać użyty do nawiązania nieautoryzowanych połączeń zdalnych z sekwenatorem. Podatność może być łańcuchowo wykorzystana z funkcjami zdalnego dostępu do wygenerowania tokenu deweloperskiego z zdalnego urządzenia. Tokeny deweloperskie mogą być tworzone z dowolnymi datami wygaśnięcia, co umożliwia trwały dostęp do sekwenatora i obejście standardowych mechanizmów uwierzytelniania.

Oprogramowanie MinKNOW firmy Oxford Nanopore Technologies w wersji 24.11 lub starszej tworzy plik tymczasowy do przechowywania lokalnego tokenu uwierzytelniającego podczas uruchamiania, przed skopiowaniem go do docelowej lokalizacji. Plik tymczasowy jest tworzony w katalogu dostępnym dla wszystkich użytkowników systemu. Nieautoryzowany lokalny użytkownik lub proces może wykorzystać to zachowanie, zakładając blokadę pliku na tymczasowym pliku tokenu za pomocą wywołania systemowego flock. Uniemożliwia to zakończenie procesu generowania tokenu. W rezultacie nie jest tworzony prawidłowy token lokalny, a oprogramowanie nie może wykonywać poleceń na sekwenatorze. Prowadzi to do odmowy usługi (DoS), blokując operacje sekwencjonowania.