Vulnerabilidad en mitigación de CSRF (tokens, etc.) en save-server (paquete npm) (CVE-2020-15135)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-352 Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)

Fecha de publicación:

04/08/2020

Última modificación:

10/08/2020

Descripción

save-server (paquete npm) anterior a la versión 1.05, está afectada por una vulnerabilidad de tipo CSRF, ya que no hay mitigación de CSRF (tokens, etc.). La corrección introducida en la versión 1.05 bloquea involuntariamente la carga, por lo que la versión v1.0.7 es la versión corregida. Esto es parcheado mediante la implementación de envío Doble. El ataque de tipo CSRF requeriría que navegues en un sitio malicioso mientras tienes una sesión activa con Save-Server (clave de sesión almacenada en las cookies). El usuario malicioso podría realizar algunas acciones, incluyendo la carga y eliminación de archivos y la adición de redireccionamientos. Si ha iniciado sesión como root, este ataque es significativamente más severo. Adicionalmente, pueden crear, eliminar y actualizar usuarios. Si actualizaran la contraseña de un usuario, los archivos de ese usuario estarían disponibles. Si se actualiza la contraseña de root, todos los archivos serían visibles si iniciaran sesión con la nueva contraseña. Tome cuenta que debido a la política del mismo origen, los actores maliciosos no pueden ver la galería ni la respuesta de ninguno de los métodos, ni asegurarse de que hayan tenido éxito. Este problema ha sido parcheado en la versión 1.0.7

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.60 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Bajo

Puntuación base 3.x

7.60

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:M/Au:N/C:P/I:P/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 6.80 MEDIA
Vector: AV:N/AC:M/Au:N/C:P/I:P/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Físico