Vulnerabilidad en Navidrome (CVE-2025-27112)

Gravedad CVSS v4.0:

MEDIA

Tipo:

CWE-287 Autenticación incorrecta

Fecha de publicación:

24/02/2025

Última modificación:

27/02/2025

Descripción

Navidrome es un servidor y transmisor de música de código abierto basado en la web. A partir de la versión 0.52.0 y antes de la versión 0.54.5, en ciertos endpoints de la API de Subsonic, un fallo en el proceso de verificación de autenticación permite a un atacante especificar cualquier nombre de usuario arbitrario que no exista en el sistema, junto con un hash con sal de una contraseña vacía. En estas condiciones, Navidrome trata la solicitud como autenticada, otorgando acceso a varios endpoints de Subsonic sin requerir credenciales válidas. Un atacante puede usar cualquier nombre de usuario inexistente para eludir el sistema de autenticación y obtener acceso a varios datos de solo lectura en Navidrome, como listas de reproducción de usuarios. Sin embargo, cualquier intento de modificar los datos falla con un error de "permiso denegado" debido a permisos insuficientes, lo que limita el impacto a la visualización no autorizada de la información. La versión 0.54.5 contiene un parche para este problema.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 6.90 MEDIA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Bajo
Integrity (VI): Bajo
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

6.90

Gravedad 4.0

MEDIA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno