ERPNext 15 és 16 kritikus fiókátvételi, SQL-injekciós és jogosultság-ellenőrzési hibákat javít

Mi történt

A Frappe erpnext-2026-W38 azonosítójú, ERPNext-re vonatkozó biztonsági közleménycsomagja tíz biztonsági közleményt fed le. A legsúlyosabb két kritikus hiba közül az egyik a GHSA-rv4r-c8v3-3hrc: ez egy tárolt cross-site scripting (XSS) probléma, amelyet egy nyilvánosan elérhető foglalási oldalon beküldött tartalomban találtak. Mivel a bemenetet semlegesítés nélkül tárolták, majd később nyers HTML-ként jelenítették meg egy emelt jogosultságú felhasználó munkamenetében, egy hitelesítést nem igénylő támadó szkriptet futtathatott abban a munkamenetben, és az adott felhasználó nevében járhatott el.

A GHSA-v38v-9h2p-hr8v egyes végpontok hiányzó bemeneti ellenőrzése miatt kialakuló SQL-injekciós hiba. Egy speciálisan kialakított kérés révén bármely hitelesített felhasználó – beleértve azt is, akinek egyetlen szerepkör sincs hozzárendelve – más felhasználókhoz tartozó érzékeny adatokat olvashatott, és emelt jogosultságú fiókra tehetett szert. Mindkét hiba kritikus besorolású, 9.3, illetve 9.6 CVSS-pontszámmal.

A fennmaradó nyolc biztonsági közlemény magas súlyosságú hibákat ír le: tárolt cross-site scripting (XSS) hibákat az eszköz- és jelentésnézetekben, valamint több hiányzó jogosultság-ellenőrzést, amelyek jogosulatlan rekordlétrehozást, -módosítást, állapotmódosítást, továbbá partner- vagy pénzügyi adatok olvasását teszik lehetővé. A Frappe közlése szerint egyik hibához sem érhető el kerülő megoldás, ezért a frissítés szükséges. A közlemények nem számolnak be aktív kihasználásról.

Kit érint

Az ERPNext valamennyi 15.121.3 előtti 15.x verziója és valamennyi 16.35.0 előtti 16.x verziója érintett a közleményekben szereplő hibák legalább egyike által. Az elsőként ismertetett tárolt XSS-hibát a 15.119.1 és a 16.32.0 verzió javítja, ezek a kiadások azonban nem tartalmazzák a későbbi jogosultság-ellenőrzési javításokat. Az ERPNext-felhasználóknak ezért a teljes közleménycsomaghoz a 15.121.3 és a 16.35.0 kiadást kell biztonságos célverziónak tekinteniük.

Mit kell most tenni

1. Telepítse a legújabb javított kiadást: frissítse az ERPNext 15.x verziókat legalább a 15.121.3, az ERPNext 16.x verziókat pedig legalább a 16.35.0 verzióra. Ezek a közleménycsomagban felsorolt legújabb javított verziók.
2. Ha nem tud azonnal frissíteni, helyezze előtérbe a nyilvános foglalási oldalt és minden olyan ERPNext-példányt, amely az internet felől elérhető. A Frappe egyik hibához sem tett közzé kerülő megoldást.
3. A frissítés megtervezése közben korlátozza az ERPNext-példány hálózati elérhetőségét, és ellenőrizze az emelt jogosultságú fiókokat, nem történt-e váratlan tevékenység.
4. A frissítés után futtassa újra az integrációs és testreszabási teszteket, majd győződjön meg arról, hogy a frissítés befejeződött.

Hogyan észlelhető

A Frappe közleményei nem tartalmaznak kompromittálódásra utaló jeleket (IoC). A frissítés előkészítése közben vizsgálja át az ERPNext hozzáférési naplóit a következők kereséséhez: váratlan, emelt jogosultságú műveletek; megfelelő szerepkör nélküli felhasználók által olvasott vagy módosított rekordok; továbbá olyan, a nyilvános foglalási oldalon beküldött névtelen tartalmak, amelyeket később emelt jogosultságú munkamenetben nyitottak meg.

A javításon túl

Ez a közleménycsomag jól mutatja, miért kell a hálózati kitettséget és a hozzáférés-szabályozást egyetlen problémaként kezelni: a legsúlyosabb hiba hitelesítést nem igényel, míg a többihez elegendő egy alacsony jogosultságú fiók. A Virtuális CISO szolgáltatásunk (vCISO) segít felmérni, mely ERPNext-példányok és egyéb szolgáltatások érhetők el a hálózat felől, a bevezetési és felmérési szolgáltatásaink keretében végzett behatolási teszt és biztonsági megerősítési felülvizsgálat pedig azt ellenőrzi, hogy a jogosultság-ellenőrzések az Ön tényleges konfigurációjában és testreszabásaiban is érvényesülnek-e.