Vulnerabilidad en ZimaOS (CVE-2024-48931)

ZimaOS es una bifurcación de CasaOS, un sistema operativo para dispositivos Zima y sistemas x86-64 con UEFI. En la versión 1.2.4 y todas las versiones anteriores, el endpoint de la API de ZimaOS `http:///v3/file?token=&files=` es vulnerable a la lectura arbitraria de archivos debido a una validación de entrada incorrecta. Al manipular el parámetro `files`, los usuarios autenticados pueden leer archivos confidenciales del sistema, incluido `/etc/shadow`, que contiene hashes de contraseñas para todos los usuarios. Esta vulnerabilidad expone datos críticos del sistema y plantea un alto riesgo de escalada de privilegios o compromiso del sistema. La vulnerabilidad se produce porque el endpoint de la API no valida ni restringe las rutas de archivo proporcionadas a través del parámetro `files`. Un atacante puede explotar esto manipulando la ruta del archivo para acceder a archivos confidenciales fuera del directorio previsto. Al momento de la publicación, no hay versiones parcheadas conocidas disponibles.