Podatności Dragonfly

Dragonfly to magazyn danych w pamięci. Przed wersją 1.40 funkcja OpaqueObjLoader::CreateStream w src/server/rdb_load.cc może powiązać jeden streamNACK z globalnym PEL grupy konsumentów i lokalnym PEL konsumenta, a następnie zwolnić współdzielony obiekt, gdy zduplikowany wpis konsumenta zostanie odrzucony. Sprzątanie następnie zwalnia ten sam obiekt ponownie. W domyślnej konfiguracji, w której Dragonfly działa z wyłączonym uwierzytelnianiem, nieuwierzytelniony klient może wywołać double-free, wysyłając spreparowany serializowany strumień do RESTORE, powodując uszkodzenie alokatora, odmowę usługi i potencjalnie wykonanie kodu kontrolowanego przez atakującego jako konto usługi Dragonfly.

Dragonfly w wersji do 2.0.2 zawiera podatność nieograniczonej alokacji pamięci, która pozwala nieuwierzytelnionym klientom wyczerpać pamięć poprzez przekazanie ujemnej wartości COUNT do HRANDFIELD, ZRANDMEMBER lub SRANDMEMBER. Atakujący może wysłać pojedyncze polecenie na klucz jednoelementowy z ogromną ujemną wartością COUNT, aby wywołać OOM killer i zakończyć działanie instancji dla wszystkich klientów.

W systemie Dragonfly przed wersją 2.4.4-rc.3 domyślny nieuwierzytelniony przepływ gRPC v1 w schedulerze przyjmuje kontrolowane przez atakującego wartości PeerHost.Ip i PeerHost.DownPort przez RegisterPeerTask i ReportPeerResult. Wartości te trafiają do resource.Host, a następnie Peer.DownloadTinyFile() buduje żądanie HTTP GET bez walidacji celu, co pozwala na odczyt SSRF do usług loopback, link-local i prywatnych. Port DownPort jest ograniczony do zakresu 1024-65534, a odpowiedź do 128 bajtów może zostać umieszczona w Task.DirectPiece.

Dragonfly przed wersją 2.4.4 rejestruje GET /api/v1/oauth i GET /api/v1/oauth/:id bez jwt.MiddlewareFunc() i RBAC(), a handler zwraca rekordy models.Oauth z polem client_secret w JSON. Gdy administrator skonfigurował dostawcę OAuth GitHub lub Google, nieuwierzytelniony klient sieciowy może pobrać client_secret, identyfikator klienta i URL przekierowania dostawcy.

Dragonfly przed wersją 1.40.0 zawiera podatność w komendach CMS.INITBYDIM i CMS.INITBYPROW, gdzie przepełnienie arytmetyczne przy obliczaniu rozmiaru bufora prowadzi do alokacji zbyt małego bufora. Umożliwia to niezautoryzowanemu zdalnemu klientowi uszkodzenie lub ujawnienie sąsiedniej pamięci sterty oraz awarię serwera.