Podatności NL Portal Backend Libraries

W bibliotekach NL Portal Backend publiczne resolvery GraphQL getFormDefinitionByObjectenApiUrl oraz przestarzały getFormDefinitionById są dostępne bez uwierzytelniania CommonGroundAuthentication i przekazują URL sterowany przez wywołującego przez ObjectenApiService.getObjectByUrl do ObjectsApiClient.getObjectByUrl, który dołącza uprzywilejowany token Objecten-API. Sprawdzenie zgodności hosta ogranicza żądania do skonfigurowanego hosta Objecten-API, ale nie ogranicza schematu, portu ani ścieżki. Linię 3.0 naprawiono w wersji 3.0.4; biuletyn nie wskazuje poprawionej wersji 3.1.

W bibliotekach NL Portal Backend zarówno zapytanie GraphQL getDocumentContent, jak i trasa REST GET /api/documentapi/{documentapi}/document/{documentId}/content pozwalają każdemu uwierzytelnionemu użytkownikowi portalu pobrać dokument bez sprawdzenia własności lub innej autoryzowanej relacji do niego. Użytkownik z ważnym loginem i identyfikatorem dokumentu innej osoby może odczytać jego treść, która może zawierać wrażliwe dane osobowe. Podatność naprawiono w wersji 3.0.3.

Pakiety nl.nl-portal:documenten-api (do wersji 3.0.0) oraz nl.nl-portal:besluiten (od 1.5.0 do 3.0.0) nie weryfikują uprawnień poszczególnych użytkowników w resolverach GraphQL. Uwierzytelniony użytkownik może uzyskać dostęp do dokumentów, decyzji, ścieżek audytu i załączników decyzji należących do innych użytkowników. Wersja 3.0.1 zawiera poprawkę.

W wersjach do 3.0.0 włącznie wdrożenia NL Portal Backend Libraries z domyślną konfiguracją udostępniały bez uwierzytelnienia dwa narzędzia deweloperskie GraphQL: interaktywny playground GraphiQL oraz introspekcję schematu. Każdy, kto miał dostęp do endpointu /graphiql, mógł pobrać pełny schemat API i wykorzystać go do mapowania oraz konstruowania wywołań. Wersja 3.0.1 naprawia problem.