Podatności zrok

Podatność w zrok przed wersją 2.0.3 pozwala atakującemu na przekazanie absolutnego URL-a w ścieżce żądania do proxy Flask SDK Python. Funkcja urllib.parse.urljoin umożliwia zastąpienie skonfigurowanego hosta docelowego, co skutkuje wysłaniem żądania przez serwer do adresu URL wybranego przez atakującego.

Podatność w oprogramowaniu zrok (wersje od 0.4.23 do 2.0.3) pozwala atakującemu na zapis plików poza wybranym katalogiem docelowym poprzez kontrolowane ścieżki WebDAV lub zrok drive, takie jak /../outside.txt. Problem został naprawiony w wersji 2.0.3.

zrok przed wersją 2.0.1 zawiera błąd logiczny w kontroli własności w handlerze unaccess (controller/unaccess.go): gdy rekord frontendu ma environment_id = NULL (oznaczenie globalnych frontendów utworzonych przez administratora), warunek zwraca false i pozwala na usunięcie bez weryfikacji własności. Użytkownik niebędący administratorem, znający token globalnego frontendu, może trwale usunąć globalny frontend, powodując niedostępność wszystkich publicznych udziałów.

zrok to oprogramowanie do udostępniania usług sieciowych, plików i zasobów sieciowych. Przed wersją 2.0.1 silnik szablonów proxyUi używa Go text/template (bez escapowania HTML) zamiast html/template, a handlery callback GitHub OAuth w publicProxy i dynamicProxy wstawiają parametr refreshInterval do komunikatu błędu bez escapowania. Atakujący może dostarczyć ofierze spreparowany URL logowania, co po zakończeniu przepływu OAuth prowadzi do wykonania dowolnego JavaScriptu w origin serwera OAuth.