Vulnerabilidad en el campo "authProvider" de la clase "_Session" en "createdWith" en Parse Server (CVE-2021-39138)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

19/08/2021

Última modificación:

12/08/2022

Descripción

Parse Server es un backend de código abierto que puede desplegarse en cualquier infraestructura que pueda ejecutar Node.js. Los desarrolladores pueden usar la API REST para registrar usuarios y también permitir a usuarios registrarse anónimamente. Versiones anteriores a 4.5.1, cuando un usuario anónimo es registrado por primera vez usando REST, el servidor creaba la sesión incorrectamente. En particular, el campo "authProvider" de la clase "_Session" en "createdWith" muestra que el usuario se ha registrado creando una contraseña. Si un desarrollador depende posteriormente del campo "createdWith" para proporcionar un nivel de acceso diferente entre un usuario con contraseña y un usuario anónimo, el servidor clasifica incorrectamente el tipo de sesión como creada con un "password". El servidor no usa actualmente "createdWith" para tomar decisiones sobre las funciones internas, por lo que si un desarrollador no está usando "createdWith" directamente, no está afectado. La vulnerabilidad sólo afecta a usuarios que dependen de "createdWith" al usarlo directamente. El problema está parcheado en Parse Server versión 4.5.1. Como solución, no use el campo de sesión "createdWith" para tomar decisiones si se permite el acceso anónimo.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

6.50

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:L/Au:N/C:P/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 6.40 MEDIA
Vector: AV:N/AC:L/Au:N/C:P/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno