Podatności Sakai

W Sakai (CLE) w wersjach od 23.0 do przed 23.5 oraz od 25.0 do przed 25.3, narzędzie Conversations przechowuje wiadomości tematów i postów bez sanityzacji HTML, a frontend renderuje je za pomocą dyrektywy unsafeHTML() z LitElement, co powoduje przechowywane XSS. Każdy uwierzytelniony użytkownik z dostępem do witryny z włączonym narzędziem Conversations może wstrzyknąć dowolny HTML i JavaScript, który wykonuje się w przeglądarkach wszystkich innych użytkowników przeglądających dany temat lub post. Problem naprawiono w wersjach 23.5, 25.3 i 26.0.

Sakai w wersjach od 23.0 do 23.5 oraz 25.3 zawiera podatność, w której uwierzytelniony użytkownik może usunąć obraz profilu innego użytkownika za pomocą punktu końcowego DELETE /api/users/{userId}/profile/image, ponieważ ProfileController.removeProfileImage() przekazuje kontrolowany przez atakującego identyfikator userId do ProfileServiceImpl.removeProfileImage() bez weryfikacji własności. Podobnie punkt końcowy DELETE /api/users/{userId}/profile/pronunciation również pomija walidację sesji i sprawdzenie własności przed usunięciem nagrania wymowy.

Sakai, środowisko współpracy i nauki, przed wersjami 23.5 i 25.0, inicjalizuje hasło AES256TextEncryptor (serverSecretKey) za pomocą RandomStringUtils z domyślnym java.util.Random. java.util.Random jest niekryptograficznym PRNG i może być przewidziany z ograniczonej informacji o stanie/seed (np. okno czasu startu), co znacznie zmniejsza przestrzeń poszukiwań wygenerowanego klucza. Atakujący, który może uzyskać ciphertexty (np. eksportowane lub przechowywane dane chronione tym serwisem) i przybliżyć seed PRNG, może odtworzyć serverSecretKey i odszyfrować dotknięte dane. SAK-49866 jest załatany w Sakai 23.5, 25.0 i trunk.