ERPNext és Frappe Framework 45. heti biztonsági közleményei: hiányzó jogosultság-ellenőrzések teszik elérhetővé több modul adatait

Mi történt

A tíz biztonsági közlemény hiányzó vagy hiányos jogosultság-ellenőrzéseket ír le az ERPNextben, valamint egy hibát a Frappe Frameworkben, amely tetszőleges fájlok olvasását teszi lehetővé. Az érintett végpontok, riportok és űrlapok csak egy tág szerepkört vagy egy dokumentumtípusra vonatkozó jogosultságot ellenőriznek, ahelyett hogy megvizsgálnák, hogy a hitelesített hívó hozzáférhet-e a kért konkrét rekordhoz. Mindegyik hiba hálózaton keresztül elérhető, nem igényel felhasználói interakciót, és csak hitelesített fiókot feltételez. Több esetben ez a fiók alacsony jogosultságú felhasználó, portálfelhasználó vagy szerepkör nélküli felhasználó is lehet.

A támadó fizetési kéréseken (Payment Requests) keresztül forrásdokumentumokat, a CRM- és a Support-modulban lévő e-mail-kommunikációt, a Regional modulban tárolt privát e-számla fájlokat, az ügyfél- és szállítói portálok listáin keresztül teljes értékesítési dokumentumokat és ajánlatkéréseket (RFQ-kat), a nyomtatási és portálnézeteken keresztül ügyféldokumentumokat, valamint tranzakciók gyermektábla-sorait olvashatja. A Frappe Framework egy külön hibája hitelesített felhasználó számára lehetővé teszi tetszőleges fájlok olvasását a csatolmánykezelésen keresztül. A hibák egy része emellett módosítást is lehetővé tesz: BOM-ok cseréjét a teljes telepítésben, készletfoglalási bejegyzések visszavonását, valamint olyan állapotváltozást okozó végpontok elérését, amelyek egy részét más webhelyről érkező kérések is aktiválhatják.

A közleményekben nem szerepel kihasználás. A gyártó közli, hogy nincs kerülő megoldás, és a frissítés kötelező.

Kit érint

Az ERPNext az elsődlegesen érintett termék. A 15.x sorozat minden, a 15.124.2-nél korábbi kiadása és a 16.x sorozat minden, a 16.53.0-nál korábbi kiadása tartalmazzák a csomagban szereplő hibák legalább egyikét; a konkrét javított kiadások közleményenként eltérnek, és a korábbi javítások között szerepelnek a 15.121.4, a 15.122.0, a 15.124.0, a 16.36.0, a 16.50.0 és a 16.52.0 verziók. Azok az ERPNext-telepítések tartoznak az érintett körbe, amelyek az Accounts, a CRM, a Support, a Regional vagy a Manufacturing modult, az ügyfélportált, a szállítói portált, a nyomtatási/portálnézeteket vagy a megosztott dokumentumvégpontokat használják. A Frappe Framework 15.x sorozatában a 15.120.1 előtti, a 16.x sorozatában pedig a 16.33.1 előtti kiadásokat érinti a csatolmánykezelésen keresztül tetszőleges fájlok olvasását lehetővé tevő hiba.

Mit kell most tenni

1. Frissítse az ERPNextet. A legfrissebb felsorolt javított verzió a 15.x sorozat esetében a 15.124.2, a 16.x sorozat esetében pedig a 16.53.0. A korábbi javítások közleménytől függően a 15.121.4, a 15.122.0, a 15.124.0, a 16.36.0, a 16.50.0 és a 16.52.0 verziók.
2. Frissítse a Frappe Framework keretrendszert legalább a 15.120.1 (15.x) vagy a 16.33.1 (16.x) verzióra, hogy megszüntesse a csatolmánykezelésben rejlő, tetszőleges fájlok olvasását lehetővé tevő hibát.
3. Kezelje ezt frissítésként, ne konfigurációs módosításként. A gyártó ezekhez a hibákhoz nem tett közzé kerülő megoldást, ezért a frissítés kötelező. A javítás telepítéséig korlátozza az ERPNext és a Frappe Framework példányok hálózati kitettségét, különösen az ügyfél- és szállítói portál végpontjait, és az alábbiak szerint vizsgálja át a tevékenységeket.

Hogyan észlelhető

A közlemények nem tesznek közzé kompromittálódásra utaló jeleket. Tekintse át az ERPNext és a Frappe Framework auditnaplóit a következők keresésével: forrásdokumentumok váratlan olvasása fizetési kéréseken keresztül; CRM- vagy ügyfélszolgálati kommunikáció; regionális e-számla fájlok letöltése; portálos ügyfél- és értékesítési dokumentumlisták; gyermektábla-sorokra irányuló lekérdezések; BOM-csere vagy BOM Update Log bejegyzések; valamint készletfoglalási bejegyzések visszavonása olyan fiókok által, amelyek normál esetben nem végeznének ilyen műveleteket.

A javításon túl

Mivel az ERPNext jellemzően pénzügyi, készlet- és árazási adatokat tárol, ezek a hiányzó jogosultság-ellenőrzések többről szólnak, mint egy biztonsági javításról: egy belső szereplő vagy egy kompromittált, alacsony jogosultságú fiók átlépheti azokat a határokat, amelyeket az alkalmazás jogosultsági modelljének be kellene tartatnia. A Bevezetési és felmérési szolgáltatások keretében végzett penetrációs teszt és biztonsági megerősítési felülvizsgálat megerősítheti, hogy a rekordszintű jogosultságok és a portálok kitettsége megfelel a feladatkörök tervezett szétválasztásának. Azoknak a csapatoknak, amelyek az ERPNextet vagy a Frappe Frameworköt szállítói szoftverek szélesebb körének részeként üzemeltetik, a gyártói javítások ütemének nyomon követése az Ellátási lánc védelem és harmadik féltől származó kockázatok körébe tartozik.