Vulnerabilidad en el plugin debugbar de October CMS (CVE-2020-11094)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-532 Exposición de información a través de archivos de log

Fecha de publicación:

04/06/2020

Última modificación:

10/06/2020

Descripción

El plugin debugbar de October CMS versiones anteriores a 3.1.0, contiene una funcionalidad donde registrará todas las peticiones (y toda la información relacionada con cada petición, incluidos los datos de la sesión) siempre que esté habilitada. Esto presenta un problema si el plugin alguna vez está habilitado en un sistema que está abierto a usuarios no confiables, ya que se presenta la posibilidad de que usen esta funcionalidad para visualizar todas las peticiones que se realizan a la aplicación y obtener información confidencial de esas peticiones. Incluso se presenta la posibilidad de que los usuarios públicos no autenticados tomen cuentas de usuarios autenticados, lo que conllevaría a una serie de problemas adicionales potenciales, ya que a un atacante teóricamente podría obtener acceso completo al sistema que se presentaran las condiciones requeridas. El problema se ha parcheado en la versión v3.1.0 al bloquear el acceso a debugbar para todos los usuarios; ahora requiere un usuario del backend autenticado con un permiso específicamente habilitado antes a que sea incluso utilizable, y la funcionalidad que permite el acceso a la información de petición almacenada está restringida detrás de un permiso diferente que es más restrictivo

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

9.80

Gravedad 3.x

CRÍTICA

Vector 2.0

AV:N/AC:M/Au:N/C:P/I:P/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 6.80 MEDIA
Vector: AV:N/AC:M/Au:N/C:P/I:P/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Físico