Podatności Directus

Directus zawiera podatność na wstrzykiwanie SQL w procesie tworzenia kolekcji, gdy instancja używa PostgreSQL z włączonym PostGIS. Administrator może utworzyć kolekcję z polem geometrii, którego wartość fields[].type zaczyna się od 'geometry', ale zawiera kontrolowaną przez atakującego składnię SQL po podtypie geometrii. Problem dotyczy Directus przed wersją 12.1.0.

W Directus przed wersją 12.0.0, przy włączonym buforowaniu odpowiedzi, klucz pamięci podręcznej nie uwzględnia kontekstu autoryzacji (np. tokenów udostępniania, ról, uprawnień). Powoduje to, że różni użytkownicy lub anonimowe żądania do tego samego URL mogą otrzymać tę samą buforowaną odpowiedź bez ponownej weryfikacji uprawnień.

W Directus przed wersją 12.0.0 ochrona SSRF w funkcji importu plików z URL może zostać ominięta przez użycie adresu 0.0.0.0. System traktuje ten adres jako słowo kluczowe dla interfejsów lokalnych, ale nie blokuje go bezpośrednio, co pozwala na dostęp do localhost na Linux i macOS. Uwierzytelniony użytkownik z prawami do przesyłania plików może wykorzystać endpoint /files/import do pobierania wewnętrznych usług i zapisywania odpowiedzi jako plik.

W Directus przed wersją 11.17.0 funkcje agregujące (min, max) na polach z typem conceal zwracają surowe wartości zamiast maskowanych. Uwierzytelniony użytkownik z dostępem do odczytu może wyodrębnić ukryte wartości, w tym tokeny API i sekrety 2FA.

Directus przed wersją 11.17.0 nie deduplikuje wywołań resolverów w zapytaniach GraphQL. Uwierzytelniony użytkownik może wykorzystać aliasowanie GraphQL do wielokrotnego powtarzania kosztownych zapytań relacyjnych, powodując przeciążenie bazy danych i wyczerpanie zasobów serwera.

W Directus przed wersją 11.16.1, pomimo wyłączenia GraphQL introspection (GRAPHQL_INTROSPECTION=false), resolver server_specs_graphql na endpoint /graphql/system nadal zwracał schemat w formacie SDL. Pozwalało to na ominięcie kontroli introspection i ujawnienie struktury bazy danych (nazwy kolekcji, pól, typów i relacji) nieuwierzytelnionym użytkownikom na poziomie publicznym oraz uwierzytelnionym na ich poziomie uprawnień.

Directus przed wersją 11.16.1 zawiera podatność w punkcie końcowym TUS resumable upload (/files/tus), która pozwala uwierzytelnionemu użytkownikowi z podstawowymi uprawnieniami do przesyłania plików na nadpisywanie dowolnych istniejących plików po UUID. Kontroler TUS wykonuje tylko autoryzację na poziomie kolekcji, pomijając reguły dostępu na poziomie wiersza.

Directus przed wersją 11.16.1 jest podatny na otwarte przekierowanie przez parametr 'redirect' na stronie /admin/tfa-setup. Administrator, który nie skonfigurował jeszcze 2FA, po odwiedzeniu spreparowanego URL-a i ukończeniu konfiguracji 2FA, zostaje przekierowany na zewnętrzną domenę kontrolowaną przez atakującego bez żadnej walidacji.

Directus przed wersją 11.16.1 zawiera podatność na otwarte przekierowanie w logice przekierowania po logowaniu. Funkcja isLoginRedirectAllowed nieprawidłowo identyfikuje niektóre źle sformowane URL-e jako zewnętrzne, co pozwala ominąć walidację listy dozwolonych przekierowań i przekierować użytkowników na dowolne zewnętrzne domeny po pomyślnym uwierzytelnieniu.

W Directus przed wersją 11.16.0 zidentyfikowano obejście ochrony SSRF poprzez użycie notacji IPv4-Mapped IPv6. Mechanizm blokowania adresów lokalnych i prywatnych może zostać ominięty.

W Directus przed 11.17.0 brak nagłówka Cross-Origin-Opener-Policy (COOP) na stronach logowania SSO. Atakujący może przechwycić i przekierować przepływ autoryzacji OAuth do kontrolowanego przez siebie klienta OAuth, kradnąc dostęp do konta ofiary.

W Directus REST API w wersjach przed 11.13.0 występuje zauważalna różnica w komunikatach błędów: endpoint /items/{collection} zwraca inne komunikaty, gdy użytkownik próbuje uzyskać dostęp do istniejącej kolekcji, do której nie ma uprawnień, a inne gdy kolekcja nie istnieje. Różnica ta ujawnia istnienie kolekcji nieuprawnionym użytkownikom. Wersja 11.13.0 naprawia problem.

Directus to API czasu rzeczywistego i panel do zarządzania treścią SQL. W wersjach przed 11.13.0 uwierzytelnieni użytkownicy z uprawnieniami do odczytu mogą wyszukiwać ukryte/wrażliwe pola. Choć wartości są maskowane (****), można wykryć dopasowania poprzez zwrócone rekordy, co umożliwia ataki enumeracyjne.

W Directus (wersje przed 11.13.0) istnieje podatność przechowywanego XSS. Użytkownicy z uprawnieniami do przesyłania plików i edycji elementów mogą wstrzyknąć złośliwy JavaScript przez interfejs Block Editor, omijając politykę CSP poprzez połączenie przesyłania plików z atrybutami iframe srcdoc. Podatność naprawiono w wersji 11.13.0.

Directus przed wersją 11.13.0 nie usuwa prawidłowo uprawnień na poziomie pola po usunięciu pola. Stare wpisy uprawnień pozostają w tabeli uprawnień, a nowe pole o tej samej nazwie dziedziczy nieaktualne uprawnienia.

W Directus, od wersji 10.3.0 do 10.5.0, filtry uprawnień nie są prawidłowo sprawdzane podczas korzystania z subskrypcji GraphQL. To prowadzi do sytuacji, w której nieautoryzowani użytkownicy mogą otrzymywać zdarzenia, do których nie powinni mieć dostępu.