Podatności OmniRoute

OmniRoute w wersjach od 3.8.0 do przed 3.8.52 zawiera podatność niezweryfikowanej zmiany hasła, pozwalającą posiadaczom kluczy API o zakresie manage lub admin albo tokenów dostępu oma_ na zmianę hasła zarządzania bez podania obecnego hasła. Atakujący może wysłać żądania POST do /api/settings/require-login, aby zablokować operatora, przejąć logowanie do panelu lub całkowicie wyłączyć wymóg logowania.

W OmniRoute w wersji 3.8.49 i wcześniejszych endpoint POST /api/acp/agents przyjmował kontrolowane przez atakującego wartości binary i versionCommand, a po sprawdzeniu spójności execFileSync uruchamiał wybrany interpreter. Przy requireLogin=false lub w oknie bootstrapu zdalny anonimowy atakujący mógł wykonać dowolny kod w kontenerze serwera.

OmniRoute w wersjach od 3.8.50 do 3.8.52 zawiera podatność braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na wystawianie tokenów synchronizacji przez POST /api/sync/tokens, gdy requireLogin jest wyłączone. Tokeny te można następnie wykorzystać do pobrania odszyfrowanych poświadczeń dostawców i kluczy API w postaci jawnej, a tokeny pozostają ważne po ponownym włączeniu logowania.