StackStorm platformasida muhim zaiflik aniqlandi.
Hujumchilar ishlab chiquvchilarni hujum qilayotgan xizmatlarda bilmasdan o’zboshimchalik bilan buyruqlarni bajarishga majburlashlari mumkin.
Ommabop ochiq kodli StackStorm platformasida xavfli zaiflik mavjud bo’lib, u tajovuzkorlar tomonidan ishlab chiquvchilarni maqsadli xizmatlarda bilmagan holda o’zboshimchalik bilan buyruqlarni bajarishga majburlash uchun ishlatilishi mumkin. Zaiflik (CVE-2019-9580) StackStormning REST API-dagi CORS (Cross-Origin Resource Sharing) sarlavhalarini noto’g’ri ishlashi natijasida yuzaga keladi, bu esa brauzerlarga StackStorm veb-interfeysiga kirgan foydalanuvchilar/ishlab chiquvchilar nomidan domenlararo so’rovlarni yuborish imkonini beradi.
«Muammo […] CORS so’rovlarini noto’g’ri ishlash bilan bog’liq. Xususan, StackStorm API Access-Control-Allow-Origin sarlavhasini qaytaradi. 2.10.3/2.9.3 versiyalaridan oldin, agar so’rov manbai noma’lum bo’lsa, null qaytarilgan», deyiladi ishlab chiquvchilarning e’lonida. Natijada, brauzer noma’lum manbalardan kelgan so’rovlarga ruxsat berdi va StackStorm API-ga XSS hujumiga yo’l qo’ydi.
Access-Control-Allow-Origin javob sarlavhasi qaysi domenga ma’lumot so’rashga ruxsat berilganligini boshqaradi. Bu veb-manzil yoki agar hammaga ruxsat berilgan bo’lsa, yulduzcha (yulduzcha) bo’lishi mumkin.
Zaiflikdan foydalanish uchun tajovuzkor shunchaki jabrlanuvchiga maxsus tayyorlangan havolani yuborishi kerak bo’ladi. Foydalanish jarayoni quyidagi videoda ko’rsatilgan.
StackStorm jamoasi 2.9.3 va 2.10.3 versiyalarini chiqarish bilan zaiflikni allaqachon tuzatdi. Barcha foydalanuvchilarga imkon qadar tezroq yangilash tavsiya etiladi.
StackStorm – bu infratuzilma va ilovalarni bog’laydigan ochiq kodli platforma bo’lib, kundalik vazifalar, ilovalar va jarayonlarni avtomatlashtirish hamda oldindan belgilangan hodisalarga javob berish imkonini beradi.
