Frappe: jogosultságszint-emelés System Manager szerepig dokumentumművelettel (CVE-2024-58390)

Mi történt

A Frappe 14.81.4 előtti verziói és a 15.x sorozat 15.41.0 előtti verziói egy nem megfelelő jogosultságkezelési sérülékenységet tartalmaznak, amely egy bizonyos dokumentumművelethez kapcsolódik. A Website User hozzáféréssel rendelkező felhasználó ezt a dokumentumműveletet további lépésekkel kombinálva System Manager jogosultságokat szerezhet a Frappe alkalmazásban.

A CVSS 4.0 szerinti pontszám 8,7 (magas). A támadás hálózatból indítható, alacsony jogosultsági szintet igényel, nem követel felhasználói beavatkozást, és a sérülékeny rendszer bizalmasságára, sértetlenségére és rendelkezésre állására gyakorolt hatás magas. A CVE-bejegyzés hitelesített jogosultságszint-emelési útvonalat ír le, nem pedig távoli, hitelesítés nélküli kompromittálást.

A hivatkozott biztonsági közlemények nem állítják, hogy ezt a sérülékenységet a gyakorlatban kihasználták vagy nyilvánosan közzétették volna, és a CISA KEV sem tartalmazza.

Kit érint

Az érintett verziók a Frappe 14.81.4 előtti verziói, valamint a 15.x sorozat 15.0.0-tól a 15.41.0 előtti verziókig terjedő kiadásai. Ellenőrizze a Frappe keretrendszer verzióját a környezetében. A jogosultságszint-emelés szempontjából az a fontos kiindulópont, hogy vannak-e Website User szereppel rendelkező fiókok, mert a leírt támadás ebből a szerepből indul ki.

Mit kell most tenni

1. Frissítse a Frappe-ot javított verzióra: a 14.x sorozatban a 14.81.4, a 15.x sorozatban a 15.41.0 verzióra. Ezek a hivatkozásokban felsorolt javított verziók.
2. Amíg a frissítést előkészítik, vizsgálja meg, mely fiókok rendelkeznek Website User szereppel, és ahol erre nincs szükség, távolítsa el vagy korlátozza ezt a szerepet.
3. A frissítés után ellenőrizze a System Manager szereppel rendelkező fiókokat, és győződjön meg arról, hogy valamennyi jogos.

A források nem írnak le kerülő megoldást; a verziófrissítést tekintse a szükséges javító intézkedésnek.

A javításon túl

Az alacsony jogosultságú Website User szerepből System Manager szintre történő jogosultságszint-emelés az alkalmazás saját jogosultságainak visszaélésszerű kihasználása, ezért önmagában a hitelesítő adatok cseréje nem szünteti meg. A javítás telepítése után a Menedzselt kiberbiztonsági felügyelet (MDR) képes figyelni az ilyen visszaéléseket követő fiók- és szerepváltozásokat, az Ellátási lánc védelem és harmadik fél kockázatai pedig segíthet nyomon követni a környezetében használt Frappe-verziókat és azt, hogy milyen gyorsan érkeznek javítások az Ön által futtatott összetevőkhöz.