Frappe keretrendszer nyomtatási nézetének gyenge hitelesítése jogosultság nélküli dokumentum-hozzáférést tesz lehetővé (CVE-2023-54411)

Mi történt

A Frappe keretrendszer 13.32.0 előtti verziói gyenge hitelesítést használnak a nyomtatási nézet eléréséhez. A nyomtatási nézet kulcsa levezethető más, engedélyezőlistán szereplő API-végpontok által közzétett adatokból. Az alkalmazást elérő támadó képes érvényes kulcsot előállítani, és a nyomtatási nézeten keresztül a szokásos jogosultságok nélkül olvashat dokumentumokat.

A hibát magas súlyosságúnak minősítették, CVSS 4.0 szerinti pontszáma 8,2. A sérülékenység hálózaton keresztül, jogosultság nélkül és felhasználói beavatkozás nélkül kihasználható, a támadás összetettsége azonban magas, és további támadási feltétel megléte is szükséges. A hatás a célpont adatainak bizalmas jellegére korlátozódik. A CVE-rekord nem jelez aktív kihasználást vagy nyilvános közzétételt.

Kit érint

Az érintett termék a Frappe keretrendszer, annak valamennyi 13.32.0 előtti verziója. Az ERPNext-et vagy más, a Frappe keretrendszerre épülő alkalmazást futtató szervezetek ellenőrizzék az alapul szolgáló keretrendszer verzióját, mert a sérülékeny összetevő a nyomtatási nézet hozzáférési mechanizmusa. A keretrendszer frissítéséig minden, a nyomtatási nézeten keresztül elérhető dokumentumtípus potenciálisan kitett lehet.

Mit kell most tenni

1. Frissítse a Frappe keretrendszert a 13.32.0 verzióra. Ez a CVE-rekordban felsorolt javított kiadás.
2. A CVE-rekord nem sorol fel kerülő megoldást. A frissítés telepítéséig korlátozza a Frappe-alkalmazás és a nyomtatási nézet végpontjainak hálózati elérését kizárólag megbízható felhasználókra és hálózatokra.
3. Vizsgálja meg, mely fiókok és API-kliensek érhetik el azokat az engedélyezőlistán szereplő végpontokat, amelyek a nyomtatási nézet kulcsának levezetéséhez használt adatokat teszik közzé, és ezekre az API-kra alkalmazza a legkisebb jogosultság elvét.

Hogyan észlelhető

A CVE-rekord nem tartalmaz a gyártó által közzétett kompromittálódásra utaló jeleket. Óvintézkedésként ellenőrizze a nyomtatási nézeten keresztül történő hozzáféréseket azokhoz a dokumentumokhoz, amelyeket a kérést indító fióknak nem lenne szabad megnyitnia, különösen akkor, ha a kérés váratlan forrásból érkezik.

A javításon túl

Az olyan ERP-platformok, mint az ERPNext, érzékeny működési és pénzügyi adatokat kezelnek, ezért az alapul szolgáló keretrendszer gyengesége a közvetlen javításon túlmenően is súlyos kockázatot jelent. Ez egyben ellátásilánc-probléma is: a javítás egy Frappe keretrendszer-kiadásban érkezik, a kitettség időtartamát pedig az határozza meg, hogy csapata milyen gyorsan telepíti a mögöttes keretrendszer frissítéseit. Az Ellátási lánc védelem és harmadik féltől eredő kockázatok területe segít nyomon követni, hogy mely beszállítók szoftvereit futtatja, és a szállítók milyen gyorsan javítják azokat. Ha nem biztos abban, hogy a Frappe-példányai hol érhetők el támadók számára, a Virtuális CISO szolgáltatás (vCISO) segíthet feltérképezni a támadási felületet és rangsorolni a kitettségeket.