Podatności Netmaker

W wersjach Netmaker przed 1.5.0 występuje podatność na obejście uwierzytelniania. Funkcja VerifyHostToken w pliku logic/jwts.go nieprawidłowo weryfikuje podpis JWT podczas weryfikacji tokenów hosta, co pozwala atakującemu na sfałszowanie tokena JWT i podszycie się pod dowolny host w sieci.

W Netmakerze, który tworzy sieci z WireGuard, odkryto podatność na masowe przypisanie w wersjach przed 0.17.1 i 0.18.6, która pozwala użytkownikowi niebędącemu administratorem na eskalację uprawnień do poziomu użytkownika administracyjnego.

W Netmakerze, który tworzy sieci z WireGuard, odkryto podatność typu Insecure Direct Object Reference (IDOR) w funkcji aktualizacji użytkownika w wersjach przed 0.17.1 i 0.18.6. Umożliwia ona aktualizację hasła innego użytkownika poprzez podanie jego nazwy użytkownika.

W Netmaker, przed wersjami 0.17.1 i 0.18.6, wykryto użycie zakodowanego klucza DNS, co pozwalało nieautoryzowanym użytkownikom na interakcję z punktami końcowymi API DNS. Problem został naprawiony w wersjach 0.17.1 i 0.18.6.

Netmaker przed wersją 0.15.1 miał problem z niewłaściwą autoryzacją, co pozwalało użytkownikom bez uprawnień administracyjnych na wykonywanie uprzywilejowanych wywołań API. Użytkownicy, którzy zostali dodani do platformy Netmaker bez uprawnień administratora, mogli wykorzystać swoje tokeny autoryzacyjne do uruchamiania funkcji na poziomie administratora przez API.

Netmaker tworzy sieci z WireGuard. W wersjach przed 1.5.0 funkcja sqliteDeleteRecord w warstwie bazy danych konstruuje instrukcje SQL DELETE przy użyciu bezpośredniej konkatenacji ciągów z danymi wejściowymi użytkownika. Umożliwia to uwierzytelnionemu atakującemu przeprowadzenie boolowskiej iniekcji SQL.

Netmaker wyłącza weryfikację certyfikatów TLS podczas połączenia ze skonfigurowanym serwerem pocztowym. Pole skip-verify jest ustawione na true bezwarunkowo, co pozwala klientowi akceptować dowolny certyfikat, w tym od pośrednika. Wiadomości wysyłane przez Netmaker obejmują resetowanie haseł z tokenami jednorazowymi oraz zaproszenia użytkowników z linkami rejestracyjnymi, które mogą zostać przechwycone.