Vulnerabilidad en el autocompletado de operaciones en GraphiQL (CVE-2021-41248)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

04/11/2021

Última modificación:

09/11/2021

Descripción

GraphiQL es la implementación de referencia de este monorepo, GraphQL IDE, un proyecto oficial bajo la GraphQL Foundation. Todas las versiones de graphiql anteriores a graphiql@1.4.7 son vulnerables a respuestas de introspección de esquema HTTP comprometidas o valores de prop de esquema con nombres de tipo GraphQL maliciosos, exponiendo una superficie de ataque de tipo XSS dinámica que puede permitir una inyección de código en el autocompletado de operaciones. Para que el ataque tenga lugar, el usuario debe cargar un esquema vulnerable en graphiql. Esto puede ocurrir de varias maneras. Por defecto, la URL del esquema no es controlable por el atacante en graphiql o en sus implementaciones o ejemplos sugeridos, dejando sólo vectores de ataque muy complejos. Si una implementación personalizada del fetcher de graphiql permite que la URL del esquema sea establecida dinámicamente, como un parámetro de consulta de la URL como ?endpoint= en graphql-playground, o un valor proporcionado por la base de datos, entonces esta implementación personalizada de graphiql es vulnerable a ataques de suplantación de identidad, y por lo tanto a ataques de tipo xss de bajo o ningún nivel de privilegio. Las URLs podrían parecerse a cualquier URL de esquema graphql de aspecto genérico. Cabe señalar que los clientes de escritorio como Altair, Insomnia, Postwoman, no parecen ser impactados por esto. Esta vulnerabilidad no afecta a codemirror-graphql, monaco-graphql u otros dependientes, ya que se presenta en onHasCompletion.ts en graphiql. Afecta a todas las bifurcaciones de graphiql, y a todas las versiones publicadas de graphiql

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 4.70 MEDIA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

4.70

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:H/Au:N/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 2.60 BAJA
Vector: AV:N/AC:H/Au:N/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno